Riassunto:
Cloudflare, una società globale di servizi cloud e sicurezza di rete, ha annunciato il 21 ottobre 2026 di aver implementato le regole di protezione WAF (Web Application Firewall) contro due gravi vulnerabilità di sicurezza note come "php2shell" nel linguaggio di programmazione PHP. Le due vulnerabilità sono numerate rispettivamente CVE-2026-109618 e CVE-2026-109619, il che può portare a negazione del servizio, esecuzione di codice in modalità remota e perdita di dati sensibili.
Cloudflare ha dichiarato che la società ha iniziato a preparare misure protettive prima che la vulnerabilità fosse resa ufficialmente pubblica e ha completato l'implementazione circa 9 ore prima che la vulnerabilità fosse resa pubblica. A partire dalle 3:02 UTC del 21 ottobre, sia i clienti gratuiti che quelli a pagamento che abilitano Cloudflare WAF riceveranno la protezione per impostazione predefinita.
Questo lavoro di protezione è una delle azioni di risposta coordinate a cui Cloudflare ha partecipato insieme a PHP Foundation, OpenAI, Wiz e altre organizzazioni. Quando le informazioni sulle vulnerabilità vengono divulgate in anticipo e gli aggressori iniziano a cercare di sfruttare le vulnerabilità, i team di sicurezza competenti continuano ad adeguare le regole di protezione e si sforzano di fornire una protezione aggiuntiva per i servizi Internet prima che gli operatori dei siti Web completino gli aggiornamenti del software.
Cloudflare ha affermato che prima che la vulnerabilità fosse resa ufficialmente pubblica, la società aveva osservato un attacco al traffico rivolto ai clienti. Il team di sicurezza ha inoltre scoperto che gli aggressori continuavano a modificare i payload dell’attacco nel tentativo di aggirare le misure di protezione implementate. Tracciando il numero di corrispondenze alle regole e analizzando i cambiamenti negli aggressori combinati con la logica delle regole, Cloudflare può adattare continuamente il meccanismo di rilevamento per gestire nuove varianti di attacco.
PHP è un linguaggio di programmazione lato server ampiamente utilizzato su Internet. Cloudflare ha citato i dati di W3Techs e ha sottolineato che quasi il 70% dei siti web del mondo utilizza PHP. Le piattaforme di siti Web comuni, tra cui WordPress e Magento, si affidano tutte a PHP per l'esecuzione. Pertanto, una volta che si verifica una grave vulnerabilità nell'ambiente operativo sottostante, può interessare un gran numero di siti Web, servizi online e applicazioni aziendali.
Questa vulnerabilità colpisce il runtime PHP stesso, non un programma o un plug-in specifico del sito web. Un utente malintenzionato può inviare al server una richiesta HTTP appositamente costruita, attivando PHP per gestire i problemi di memoria in uno stato anomalo. Secondo le informazioni divulgate da Cloudflare, due vulnerabilità riguardano l'incapacità di PHP di gestire in modo sicuro la memoria correlata e lo stato interno quando si verifica esaurimento della memoria o errori fatali durante l'elaborazione della richiesta.
La prima vulnerabilità, CVE-2026-109618, riguarda la gestione delle eccezioni dopo l'esaurimento della memoria. Quando PHP interrompe la richiesta quando alcuni dati interni non sono stati inizializzati, le successive operazioni di pulizia potrebbero erroneamente utilizzare questi dati che non sono stati effettivamente inizializzati come dati normali, causando il danneggiamento della memoria.
La seconda vulnerabilità, CVE-2026-109619, riguarda lo stato interno che rimane al termine della richiesta. Quando si verifica un errore fatale in una richiesta, il processo PHP può continuare a conservare i riferimenti alla memoria liberata. Se lo stesso processo successivamente gestisce un'altra richiesta, potrebbe accedere alla memoria scaduta, provocando la fuga di dati sensibili o addirittura creando le condizioni per ulteriori attacchi.
Un utente malintenzionato può attivare queste eccezioni costruendo richieste specifiche. Richieste più grandi possono causare un sovraccarico della memoria, ma il rischio non si limita al consumo delle risorse del server. Gli aggressori possono anche sfruttare i difetti nella gestione della memoria non valida da parte del programma per mandare in crash il processo PHP, far trapelare informazioni sensibili o eseguire il codice fornito dall'aggressore.
Di fronte a tali vulnerabilità, le tradizionali regole del firewall per le applicazioni web non sempre forniscono una base sufficientemente affidabile per giudicare. Cloudflare osserva che esaminando solo le richieste in arrivo, a volte è difficile distinguere con precisione gli attacchi dannosi dal traffico normale. Se riesci ad analizzare contemporaneamente la richiesta e la risposta restituita dal server, avrai la possibilità di ottenere più informazioni contestuali, determinare con maggiore precisione se l'attacco ha avuto successo e ridurre la probabilità di intercettare erroneamente le normali richieste.
A tal fine, Cloudflare ha sviluppato una nuova funzionalità WAF chiamata "Full Transaction Detection". Questo meccanismo combina i segnali di richiesta e di risposta nella stessa transazione HTTP per l'analisi. Quando le regole di rilevamento confermano che una transazione soddisfa le caratteristiche di attacco, il contenuto della risposta dal server di origine può essere intercettato prima che venga restituito al richiedente.
Le regole di protezione implementate per php2shell sono le prime regole di rilevamento gestito lanciate da Cloudflare utilizzando questa nuova funzionalità. L'azienda ritiene che, analizzando in modo completo le richieste e le risposte, sia possibile identificare attacchi complessi riducendo al contempo possibili errori di valutazione causati dal fare affidamento esclusivamente sulle caratteristiche della richiesta.
In termini di implementazione specifica, Cloudflare ha affermato che gli utenti dei pacchetti gratuiti non devono abilitare manualmente nuove regole di protezione. Le regole pertinenti sono state implementate automaticamente nel set di regole gratuite ospitato da Cloudflare. I pacchetti a pagamento forniscono protezione tramite set di regole gestite da Cloudflare. Gli utenti delle edizioni Professional, Business ed Enterprise devono confermare che i set di regole pertinenti siano abilitati e in modalità di blocco, anziché limitarsi a registrare gli eventi di attacco.
Cloudflare implementa inoltre regole di blocco predefinite per le firme di attacco ad alta sicurezza nelle regole predefinite del Managed Response Firewall. Gli utenti possono accedere all'interfaccia di analisi della sicurezza per visualizzare le richieste intercettate, le regole di corrispondenza e i relativi percorsi per capire se il loro sito web è sotto attacco. Per i clienti che richiedono un controllo più granulare, è anche possibile modificare l'ambito dei set di regole gestite.
Tuttavia, Cloudflare ha più volte sottolineato che la protezione WAF può essere utilizzata solo come parte di una difesa approfondita e non può sostituire la patch PHP ufficiale. Anche se un sito web ha il firewall Cloudflare abilitato, gli amministratori dovrebbero comunque aggiornare il software PHP in esecuzione sul server il prima possibile. Il motivo è che WAF riduce i rischi principalmente identificando e bloccando il traffico di attacchi noto o rilevabile, mentre la vulnerabilità stessa esiste ancora nell’ambiente in esecuzione PHP senza patch. Una volta che un utente malintenzionato adotta un nuovo metodo di attacco o la richiesta non viene identificata accuratamente dalle regole esistenti, il sistema potrebbe essere ancora a rischio.
Per le organizzazioni che non possono completare immediatamente l'aggiornamento, Cloudflare consiglia di continuare ad abilitare la protezione WAF, limitando al tempo stesso le funzioni di caricamento di file non necessarie e impostando limiti ragionevoli di dimensione dei file per le interfacce di caricamento che devono essere conservate. Queste misure possono aiutare a ridurre l’esposizione di alcuni percorsi di attacco, ma non possono risolvere completamente il problema della vulnerabilità. Per i siti Web che utilizzano hosting gestito, se l'operatore non può gestire direttamente la versione PHP, deve contattare il fornitore del servizio di hosting il prima possibile per confermare se ha implementato aggiornamenti di sicurezza ufficiali.
Cloudflare ha dichiarato che il suo team di analisi della sicurezza continuerà a monitorare le attività di attacco e ad aggiornare le regole di protezione in base alle nuove tecnologie e alle varianti del payload adottate dagli aggressori. L'azienda consiglia inoltre agli utenti di continuare a mantenere la protezione WAF pertinente riparando al contempo le vulnerabilità PHP per formare una difesa a più livelli.
Questo incidente evidenzia l'importanza dei meccanismi di risposta alla sicurezza di Internet. Per le vulnerabilità software sottostanti che hanno un ampio impatto e possono essere sfruttate da remoto, il semplice rilascio di una patch non è sufficiente per garantire che tutti i siti Web vengano immediatamente ripristinati in sicurezza, poiché la velocità di aggiornamento, le capacità di manutenzione e i metodi di gestione dei server dei diversi operatori variano notevolmente. I fornitori di servizi cloud implementano le regole di protezione in anticipo per guadagnare tempo prezioso tra il rilascio delle patch e l'installazione su larga scala.
Ma nel lungo termine, la soluzione più affidabile resta comunque l'aggiornamento alla versione di riparazione di PHP rilasciata ufficialmente. Le misure di protezione temporanee di Cloudflare possono creare ulteriori barriere per i siti web, ma non possono garantire che tutte le varianti di attacco vengano bloccate. Per i siti Web che eseguono PHP, la riparazione tempestiva dell'ambiente operativo sottostante, il mantenimento delle regole del firewall abilitate e il controllo continuo delle richieste anomale sono ancora misure chiave per affrontare questa vulnerabilità di php2shell.
Articoli correlati:
PHP ha messo in luce gravi vulnerabilità di sicurezza e gli operatori di siti web globali sono entrati urgentemente in uno stato di patch
Commenti