Black October 2026: PHP2Shell e l’ondata di attacchi che ha scosso il web

Ottobre 2026 doveva essere il Mese europeo della consapevolezza sulla cybersecurity. È diventato il Black October: in pochi giorni, tra il 19 e il 22 ottobre, sono emersi data breach, attacchi alla supply chain del software e una vulnerabilità critica in PHP, il linguaggio su cui gira la maggior parte del web.

Il nome è nato sui social il 22 ottobre, definendo le 48 ore precedenti “le peggiori nella storia della cybersecurity”. L’etichetta ha fatto il giro del mondo, ma c’è un dettaglio che conta più del nome: molti di questi attacchi erano in corso da settimane o mesi. Ottobre è il mese in cui sono venuti alla luce, non quello in cui sono iniziati.

In questo articolo vediamo cosa è successo, perché la falla PHP2Shell riguarda da vicino anche le aziende italiane e cosa fare subito.

PHP2Shell: la falla che ha messo in allarme il web

Il 21 ottobre il team di PHP ha rilasciato le patch per due vulnerabilità critiche, ribattezzate PHP2Shell: CVE-2026-109618 e CVE-2026-109619, entrambe con punteggio CVSS 4.0 di 9,2 su 10. Permettono a un attaccante non autenticato di eseguire codice da remoto sul server con una sola richiesta HTTP, prima ancora che l’applicazione venga eseguita. Il 26 ottobre la CISA ha aggiornato il catalogo delle vulnerabilità note sfruttate (KEV), aggiungendo le due CVE sopra. Inoltre, è presente online la POC che permette lo sfruttamento della vulnerabilità.

Perché è così grave? PHP alimenta circa il 69% dei siti web: WordPress, e-commerce, portali aziendali, gestionali web. Secondo Help Net Security è esposta ogni installazione che serve richieste web: PHP-FPM, Apache con mod_php (la configurazione più a rischio), php-cgi, FrankenPHP e LiteSpeed.

Le falle esistevano da oltre un decennio. A renderle sfruttabili è stato anche l’uso di modelli di intelligenza artificiale avanzati: i ricercatori di Wiz e Calif le hanno individuate con il supporto dell’AI, che ha ridotto drasticamente lo sforzo necessario per scrivere un exploit funzionante.

I numeri dello sfruttamento parlano chiaro. Amazon ha registrato un primo tentativo di attacco il 17 ottobre, quattro giorni prima dell’annuncio pubblico. Dopo la divulgazione, Cloudflare ha visto i tentativi passare da decine di migliaia nei primi 45 minuti a centinaia di migliaia in due ore, fino a milioni. Diversi siti governativi europei, tra cui Paesi Bassi, Germania e Francia, sono stati messi offline in via precauzionale.

L'Italia: oltre 285.000 servizi a rischio

Il nostro Paese è tra i più esposti. Secondo il bollettino del CSIRT Italia dell’Agenzia per la Cybersicurezza Nazionale aggiornato al 25 ottobre:

741.523 servizi PHP rilevati sul territorio nazionale
285.149 con una versione potenzialmente vulnerabile, pari all’81,9% dei servizi di cui è nota la versione
solo 62.981 già aggiornati a una versione sicura
circa 60.000 domini i cui gestori sono in fase di notifica da parte di ACN

In altre parole, per ogni servizio aggiornato ce ne sono più di quattro ancora scoperti. E non parliamo solo di siti vetrina: PHP è dietro portali clienti, aree riservate, e-commerce e applicazioni interne che spesso nessuno ricorda nemmeno di avere esposte su Internet.

A complicare il quadro c’è una terza falla, CVE-2026-115560, segnalata il 23 ottobre. Riguarda la gestione delle sessioni e il monitoraggio degli upload, e la correzione arriverà solo con il prossimo aggiornamento ordinario, poiché (come dichiarato dalla stessa PHP) lo sfruttamento della falla può essere eseguito solo in rare combinazioni di configurazione del codice applicativo. Nel frattempo, serve una mitigazione manuale.

Non solo PHP: gli altri fronti del Black October

PHP2Shell è stata la notizia più rumorosa, ma non l’unica. Ecco alcuni degli episodi più significativi raccolti da SecurityToday:

UpdraftCentral (WordPress): Il 17-18 ottobre chiavi rubate sono state usate per creare account admin e installare plugin malevoli; circa 400.000 siti potenzialmente esposti ⮕ Anche i tool di gestione centralizzata sono un bersaglio
AOMEI Backupper: Gli aggiornamenti ufficiali hanno distribuito backdoor in tre brevi finestre di manomissione ⮕ Un update legittimo può essere il vettore d’attacco
OVHcloud CLI e LiteLLM: Pacchetti per sviluppatori modificati con codice malevolo e credential stealer ⮕ La supply chain del software va monitorata
Ransomware SafePay: Advisory congiunto FBI-CISA del 20 ottobre: almeno 600 vittime ⮕ Password deboli e phishing restano la porta d’ingresso
Zeabur e Railway: Credenziali interne e token mai ruotati hanno esposto milioni di variabili d’ambiente ⮕ I segreti devono scadere ed essere ruotati
NGINX e Siemens Software Center: Nuove vulnerabilità critiche, la seconda già sfruttata attivamente ⮕ La velocità di patching fa la differenza

Il filo rosso è il tempo. Secondo Rapid7, nel terzo trimestre 2026 sono passati in media tre giorni tra la divulgazione di una vulnerabilità grave e il suo sfruttamento. Con l’AI che accelera sia la scoperta delle falle sia la scrittura degli exploit, il centro di sicurezza nazionale britannico (NCSC) parla apertamente di una “ondata di patch” a cui le organizzazioni devono prepararsi.

Cosa fare subito: la checklist

Se la tua azienda ha siti, portali o applicazioni web, queste sono le azioni raccomandate da ACN e dai principali vendor di sicurezza:

Fai l’inventario. Individua tutti i servizi esposti su Internet che usano PHP, compresi quelli gestiti da fornitori o hosting esterni.
Aggiorna PHP. Porta ogni installazione alla versione corretta del suo ramo: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Verifica che l’aggiornamento sia davvero applicato, anche quando arriva dai pacchetti della distribuzione Linux.
Pianifica la migrazione delle versioni obsolete. PHP 8.1 e precedenti non ricevono più il normale ciclo di sicurezza.
Applica la mitigazione per la terza falla. Imposta session.upload_progress.enabled = 0 finché non arriva la patch per CVE-2026-115560.
Attiva il WAF in modalità blocco con le regole specifiche per PHP2Shell. Aiuta, ma non sostituisce l’aggiornamento.
Controlla i log a ritroso. Cerca richieste HTTP anomale, errori di esaurimento della memoria e crash inattesi dei processi PHP, anche nei giorni precedenti al 21 ottobre.
Metti offline ciò che non puoi proteggere. È l’indicazione di ACN e del NCSC britannico per i servizi che non si possono aggiornare o mitigare in tempi rapidi.
Ruota credenziali e segreti dei server potenzialmente compromessi: chiavi API, password di database, token.

Come HiSolution può aiutarti

Il Black October ha mostrato che non basta reagire all’ultima notizia: servono visibilità, velocità e monitoraggio continuo. Sono esattamente i punti su cui lavoriamo ogni giorno con i nostri clienti.

Surface Scan: mappa la tua superficie d’attacco esterna e individua i servizi esposti su Internet, comprese le versioni PHP vulnerabili che non sapevi di avere.
Patch Management: riduce i tempi tra il rilascio di una patch e la sua applicazione, quando tre giorni possono fare la differenza.
Log Management: conserva e analizza i log per individuare tentativi di sfruttamento, anche a ritroso.
HiDetect XDR e Sophos MDR: monitoraggio e risposta h24 da parte di analisti esperti, per intercettare un alert prima che diventi un incidente.
Firewall: protezione perimetrale e regole aggiornate per bloccare i tentativi noti.

Non sai se i tuoi servizi web sono esposti a PHP2Shell?
Contatta il nostro team Security per una verifica della tua superficie d’attacco: ti diremo cosa è a rischio e da dove partire.