Allarme 2Shell: milioni di exploit RCE colpiscono PHP e Brotli, web a rischio globale

Nell’ultima settimana la sicurezza informatica è stata dominata da una valanga di vulnerabilità critiche di tipo RCE (remote code execution), capaci di permettere a un attaccante di eseguire codice da remoto senza autenticazione. Il tema ricorrente è stato quello dei bug con nome in stile “2Shell”, un segnale chiaro di quanto sia rapida la comparsa di nuove superfici di attacco su software diffusi e infrastrutture essenziali.

Tra gli eventi più rilevanti spiccano le falle denominate PHP2Shell, due vulnerabilità critiche in PHP identificate come CVE-2026-109618 e CVE-2026-109619. Dopo la divulgazione pubblica sono partite attività di scansione su larga scala, con milioni di tentativi di sfruttamento osservati a livello globale. Anche se non risultano compromissioni confermate, la diffusione di PHP sul web aumenta enormemente il rischio operativo e ha spinto alcune organizzazioni a mettere offline siti e servizi per precauzione, in attesa di patch e verifiche.

Un altro fronte caldo riguarda Brotli, la libreria di decompressione utilizzata in numerosi progetti. Una vulnerabilità grave nel decoder, associata a scenari di RCE e conosciuta anche con i nomi Node2Shell e HTTP2Shell, ha richiesto correzioni a catena su ecosistemi molto usati come Node.js, Bun, Envoy e Istio, oltre a implementazioni in linguaggi diversi. Questo tipo di problema evidenzia quanto le dipendenze software possano amplificare l’impatto di una singola falla, trasformandola in un rischio sistemico.

La settimana ha mostrato anche quanto la supply chain software sia fragile. Un caso emblematico è quello di una chiave master trapelata che ha consentito la pubblicazione di una versione malevola di un pacchetto Python popolare. Il codice era progettato per attivarsi automaticamente, includendo funzioni di furto credenziali e un backdoor in grado di eseguire comandi periodicamente. In parallelo, vulnerabilità sfruttate attivamente come Plex2Shell hanno dimostrato che gli attaccanti continuano a concatenare bug multipli per distribuire miner e strumenti proxy, con interventi di emergenza e richieste di patching accelerate.

In questo contesto la priorità per aziende e team IT è rafforzare la gestione patch, ridurre esposizioni inutili, monitorare scansioni e tentativi di exploit e trattare ogni perdita di chiavi o token come un incidente critico, soprattutto quando coinvolge ambienti cloud, strumenti di sviluppo e pipeline di rilascio.