La php2shell vulnerability spinge all’adozione di protezioni managed WAF
La php2shell vulnerability ha indotto Cloudflare a implementare nuove protezioni per i siti web che utilizzano la sua rete di sicurezza. L’azienda ha annunciato l’intervento in un post datato 21 ottobre 2026, classificato nelle categorie PHP, sicurezza, vulnerabilità, Web Application Firewall e Managed rules. L’annuncio conferma che la copertura difensiva è stata implementata, ma non identifica le versioni di PHP interessate, le versioni delle applicazioni coinvolte o un identificatore di sicurezza distinto.
PHP è un linguaggio di programmazione server-side ampiamente utilizzato per creare siti web dinamici e applicazioni web. Un Web Application Firewall (WAF) è un livello di sicurezza che esamina le richieste web prima che raggiungano un’applicazione. A seconda della configurazione, può registrare le richieste nei log, sottoporle a challenge o rifiutarle quando corrispondono a pattern di attacco noti. Le Managed rules sono regole di rilevamento mantenute e aggiornate dal fornitore di sicurezza, anziché essere scritte singolarmente da ciascun gestore di siti web.
Cloudflare presenta la propria risposta a php2shell come una protezione WAF. Questa distinzione è importante dal punto di vista operativo. Una WAF rule può ridurre l’esposizione identificando le richieste sospette al perimetro del sito web, ma non equivale alla correzione del software vulnerabile. Una patch software modifica il codice interessato, mentre una firewall rule filtra il traffico prima che raggiunga l’origin server, cioè il sistema sul quale il sito web o l’applicazione vengono effettivamente eseguiti. Le organizzazioni dovrebbero quindi considerare la protezione perimetrale come uno dei livelli di difesa, non come una prova che l’applicazione sottostante sia sicura.
Il compito immediato per i proprietari di siti web consiste nello stabilire se PHP sia presente in qualsiasi punto del loro ambiente e chi sia responsabile della sua manutenzione. Questo inventario dovrebbe includere siti web pubblici, pannelli di amministrazione, applicazioni meno recenti, sistemi di staging e subdomain dimenticati. La protezione del sito web principale non implica automaticamente che siano coperti tutti gli hostname correlati o tutti i percorsi diretti verso l’origin server. I gestori dovrebbero verificare l’ambito di qualsiasi policy WAF implementata, invece di presumere che un’unica impostazione a livello di account si applichi ovunque.
Anche il monitoraggio è importante dopo l’introduzione di una nuova Managed rule. I log di sicurezza possono mostrare se le richieste vengono bloccate e quali siti web o percorsi prendono di mira. I team dovrebbero collegare gli alert pertinenti a un processo di incident response, ossia ai passaggi documentati utilizzati per indagare e contenere un possibile evento di sicurezza. Una richiesta bloccata non dimostra di per sé che un sito web sia stato compromesso, ma attività ripetute o insolite possono giustificare un controllo dei log dell’applicazione, dei file modificati di recente e degli account amministratore.
Le regole difensive possono anche influire sul traffico legittimo se una richiesta ordinaria assomiglia a un pattern di attacco. Questo fenomeno è noto come false positive e si verifica quando un controllo di sicurezza considera erroneamente ostile un’attività normale. Dopo le modifiche alle protezioni, i gestori dei siti web dovrebbero verificare funzioni importanti come l’accesso, il checkout, la pubblicazione di contenuti e le chiamate API. Se una funzione legittima non riesce, la risposta più sicura consiste nell’analizzare la regola e la richiesta corrispondenti, anziché disattivare un’ampia protezione senza un esame preliminare.
Le responsabilità dovrebbero essere definite esplicitamente quando hosting, sviluppo e sicurezza sono gestiti da organizzazioni diverse. I proprietari dei siti web dovrebbero chiedere chi applica gli aggiornamenti di PHP e delle applicazioni, chi conferma che le Managed rules del firewall siano attive, chi esamina gli alert e chi può intervenire al di fuori del normale orario di lavoro. Le organizzazioni che necessitano di supporto esterno per queste attività possono utilizzare AEU-I, che fornisce servizi IT, infrastrutturali e di consulenza con un approccio security-first.
L’insegnamento generalizzabile tratto dalla risposta a php2shell è che una copertura WAF managed può fornire rapidamente un utile livello difensivo, ma deve affiancarsi a software mantenuto e aggiornato, responsabilità chiare, monitoraggio e procedure di risposta testate. I proprietari dei siti web dovrebbero verificare che la protezione si applichi ai sistemi che gestiscono e continuare a installare gli aggiornamenti ufficiali quando sono disponibili.