vulnerabilità
Il 21 ottobre sono state divulgate due vulnerabilità critiche in PHP, il linguaggio di scripting utilizzato da molti siti web e servizi online: CVE-2026-109618 e CVE-2026-109619. Gli autori degli attacchi possono sfruttarle per eseguire comandi da remoto su qualsiasi server che utilizzi PHP, senza bisogno di autenticazione. L’exploit è stato battezzato PHP2Shell.
Il team di sicurezza di PHP ha annunciato un imminente aggiornamento di emergenza il 20 ottobre e ha pubblicato le patch per correggere le vulnerabilità già il giorno successivo.
In precedenza abbiamo analizzato i dettagli tecnici di queste vulnerabilità e spiegato cosa devono fare le aziende e gli amministratori di server. Potresti aver tranquillamente ignorato la notizia perché non gestisci alcun server, ma purtroppo il problema non riguarda soltanto le aziende.
Quasi il 70% dei siti web utilizza PHP, compresi servizi che usiamo ogni giorno: wiki, negozi online, dispositivi smart dotati di interfacce web, sistemi NAS domestici, controller per la smart home e molto altro.
Oggi spieghiamo in che modo queste vulnerabilità possono riguardarti personalmente e cosa puoi fare per ridurre i rischi.
Come le vulnerabilità possono colpire gli utenti privati
Furto di account e dati personali
La vulnerabilità consente a un autore di attacchi di rubare i token di autenticazione dalla memoria del server. Questi token funzionano essenzialmente come lasciapassare elettronici: indicano a un sito web che l’utente ha già effettuato l’accesso. Di conseguenza, un autore di attacchi potrebbe riuscire ad accedere all’account di un’altra persona senza inserire una password o un codice di autenticazione a due fattori, mettendo a rischio messaggi, documenti, indirizzi di consegna, cronologia degli ordini e altre informazioni riservate.
Perdita di file sui dispositivi domestici
Se in casa utilizzi un dispositivo NAS o un sistema di videosorveglianza basato su una versione vulnerabile di PHP, anche questo potrebbe essere a rischio. A seconda del livello di accesso ottenuto, gli autori degli attacchi potrebbero riuscire a copiare, eliminare o criptare i file a cui hanno accesso.
Infezione da malware
Se un autore di attacchi ottiene l’accesso a un sito web vulnerabile, può utilizzarlo praticamente come vuole: indurre i visitatori a scaricare un file dannoso o a fare clic su un link di phishing, mostrare istruzioni pericolose, sostituire moduli di pagamento o pagine di accesso con versioni dannose, e molto altro. Di conseguenza, chi visita un sito web legittimo potrebbe non solo perdere l’accesso al proprio account, ma anche perdere denaro o infettare accidentalmente il proprio dispositivo con malware.
Di seguito riportiamo alcuni esempi di servizi direttamente interessati dalle vulnerabilità.
Quali servizi sono interessati dalle vulnerabilità di PHP
Jeedom
Jeedom è una piattaforma per la smart home che consente agli utenti di controllare illuminazione, sensori, riscaldamento, tapparelle e dispositivi IoT domestici. Gli autori degli attacchi potrebbero abusarne in molti modi: disattivare l’allarme, monitorare quando il proprietario è fuori casa, accedere alle immagini del videocitofono e altro ancora.
Gli sviluppatori hanno confermato che la nuova vulnerabilità interessa la loro applicazione e hanno già rilasciato un aggiornamento di emergenza, Jeedom 4.6.2. Perché funzioni, gli utenti devono eseguire l’aggiornamento due volte. Gli sviluppatori affermano che nei prossimi giorni verrà rilasciata una versione completamente corretta per gli utenti privati.
I siti web che utilizziamo ogni giorno
Come accennato sopra, PHP è utilizzato da circa il 70% dei siti web. Questo non significa che siano tutti vulnerabili: dipende dalla versione di PHP in uso e dal fatto che i gestori del sito abbiano già installato gli aggiornamenti. Molti siti web governativi in Europa hanno già sospeso le proprie attività a causa della nuova vulnerabilità.
Purtroppo, un sito web può essere ancora vulnerabile anche se sembra funzionare normalmente. Un autore di attacchi potrebbe potenzialmente assumere il controllo di qualsiasi sito web legittimo il cui server non sia stato ancora aggiornato. Potrebbe falsificare le pagine di pagamento o di accesso, ospitare file dannosi o convincere gli utenti a scaricare un “aggiornamento urgente” che in realtà contiene malware.
Gli utenti comuni non hanno un modo affidabile per verificare se queste istruzioni o questi file siano sicuri. Assicurati quindi di utilizzare una protezione affidabile contro phishing e malware. Se sospetti che i tuoi dati possano essere stati rubati, controlla le sessioni attive nelle impostazioni del tuo account. Se noti attività sospette o dispositivi che non riconosci, disconnettiti da tutte le sessioni attive e cambia la password. Usa un gestore di password: può generare una password davvero robusta e univoca che non dovrai ricordare a memoria.
Videogiochi
Brutte notizie per i gamer: anche alcuni videogiochi i cui server utilizzano PHP sono a rischio. Se non vuoi che gli autori degli attacchi mettano le mani sui tuoi account, assicurati di aggiornare le password delle piattaforme di gioco, degli store e dei tuoi account.
Per guadagnare tempo per gli aggiornamenti, alcuni sviluppatori hanno temporaneamente messo offline i propri servizi. Final Fantasy XIV, Pokemon Champions, i giochi di Bandai Namco Entertainment, Uma Musume: Pretty Derby, Granblue Fantasy, Shadowverse: Worlds Beyond e molti altri sono entrati in manutenzione di emergenza. Anche Nintendo Switch Online e gli store GOG e Steam sono stati interessati.
Purtroppo ci sono state anche conseguenze più drastiche. Ieri gli sviluppatori di World Quest hanno annunciato la chiusura definitiva del gioco dopo 15 anni: si basava su un’infrastruttura obsoleta che sarebbe stata estremamente difficile e costosa da correggere. Per lo stesso motivo, il gioco per dispositivi mobili Please Save My Pandemonium! è stato chiuso dopo oltre dieci anni di attività.
NAS domestici
Negli ultimi anni i cosiddetti “cloud domestici” sono diventati popolari, e non senza motivo: molti utenti preferiscono conservare i backup dei propri dati a casa anziché online. Diverse aziende producono dispositivi NAS e almeno tre — QNAP, Synology e ASUSTOR — hanno dichiarato che le vulnerabilità interessano i loro prodotti. È stato inoltre rilasciato un aggiornamento per Unraid, un sistema operativo per server domestici, sistemi di archiviazione di rete e server multimediali.
QNAP
Il produttore ha confermato che le vulnerabilità interessano diverse versioni dei suoi sistemi operativi per NAS — QTS e QuTS hero — oltre ad applicazioni come QuMagie, Note Station 3 e alcune versioni di QVR Surveillance. Un attacco riuscito potrebbe mettere a rischio foto, documenti, note e registrazioni delle telecamere.
Al momento della pubblicazione, QNAP sta ancora preparando gli aggiornamenti, quindi la priorità è disconnettere temporaneamente il NAS da Internet. QNAP consiglia di disabilitare l’inoltro delle porte (port forwarding) sul router, impedire al NAS di aprire automaticamente le porte e consentire l’accesso al pannello di gestione soltanto dalla rete domestica o tramite una VPN.
Synology
Entrambe le vulnerabilità sono state ufficialmente confermate nei pacchetti PHP 7.3, 7.4 e 8.0–8.4, oltre che in Mail Station e Synology Calendar. Sono già state pubblicate correzioni per PHP a partire dalla versione 7.4, nonché per Mail Station e Synology Calendar. PHP 7.3 non verrà corretto. L’azienda sottolinea inoltre che il componente PHP integrato nel sistema operativo non è accessibile dall’esterno del dispositivo, quindi il rischio di attacco è molto basso.
ASUSTOR
Anche ASUSTOR ha confermato ufficialmente entrambe le vulnerabilità e ha immediatamente rimosso da App Central i pacchetti PHP 7, 7.3, 7.4 e 8.1. L’azienda consiglia di eseguire immediatamente un backup dei dati, rimuovere i pacchetti PHP meno recenti e utilizzare PHP 8.3 o 8.4.
Unraid
Nell’aggiornamento del sistema operativo pubblicato oggi, PHP è stato aggiornato alla versione 8.4.27, che include le correzioni per queste vulnerabilità. Gli sviluppatori raccomandano a tutti gli utenti di aggiornare a Unraid 7.3.4. I container dotati di una propria installazione di PHP devono essere aggiornati separatamente: la nuova versione di PHP presente nel sistema operativo non sostituisce quella installata all’interno dei container.
Al momento della pubblicazione non avevamo trovato conferme pubbliche da parte di altri grandi produttori, come TerraMaster, UGREEN, Buffalo o Western Digital, sul fatto che i loro dispositivi fossero interessati da queste vulnerabilità: soltanto discussioni tra utenti sui forum.
Tuttavia, il fatto che finora soltanto alcuni produttori di NAS abbiano confermato il problema non garantisce che i tuoi dispositivi siano al sicuro, soprattutto se sono piuttosto vecchi o provengono da un produttore poco noto o non più attivo. In questo caso, disconnetti innanzitutto i dispositivi da Internet, mantenendoli accessibili esclusivamente dalla rete locale, quindi verifica se sono vulnerabili.
Archiviazione cloud Nextcloud
Nextcloud è una piattaforma gratuita e open source che consente di creare il proprio spazio di archiviazione cloud e rappresenta un’alternativa a Google Drive, Dropbox e Microsoft OneDrive. Permette di archiviare e sincronizzare file tra più dispositivi, condividerli con altri utenti e lavorare con documenti, foto, calendari e contatti. I dati possono essere archiviati sul proprio server o NAS anziché sui server di un’azienda terza.
Se conservi dati importanti in Nextcloud, verifica come è configurata la tua istanza cloud. Se utilizzi Nextcloud All-in-One, aggiorna alla versione 14.4.1, in cui la vulnerabilità è già stata corretta.
Se la tua installazione di Nextcloud è configurata in modo diverso, devi aggiornare personalmente PHP sul dispositivo o sul server.
Come proteggere dispositivi e dati
- Usa una protezione contro phishing e malware. La nostra soluzione di sicurezza blocca automaticamente le pagine di phishing e il malware, anche quando gli autori degli attacchi li collocano su siti web legittimi.
- Tieni d’occhio gli aggiornamenti. Se hai un NAS, un sistema per la smart home, un server domestico, un server multimediale o qualsiasi altro dispositivo dotato di interfaccia web, controlla innanzitutto il sito del produttore e installa tutti gli aggiornamenti disponibili. Se non è ancora disponibile alcun aggiornamento, disabilita temporaneamente l’accesso a Internet del dispositivo.
- Usa password robuste. La maggior parte delle persone riutilizza la stessa password, o sue varianti, su più siti web. Se un autore di attacchi trova una di queste password su un server vulnerabile, potrebbe riuscire a compromettere anche gli altri tuoi account. Consigliamo di generare e archiviare password robuste e univoche in Kaspersky Password Manager, così non dovrai ricordare personalmente tutte le credenziali. Assicurati inoltre di abilitare l’autenticazione a due fattori su tutti gli account importanti, idealmente utilizzando codici monouso generati dallo stesso gestore di password.
- Mantieni un backup offline dei file importanti. Non affidarti soltanto all’archiviazione cloud: assicurati di conservare una copia di backup di tutti i documenti importanti su un disco rigido e su un dispositivo esterno. Per maggiori informazioni su come eseguire correttamente i backup, consulta il nostro articolo Internet non ricorda proprio tutto.
Quali altri rischi possono minacciare i dispositivi di casa? Leggi i nostri articoli:
Consigli