---

📌 Panoramica

PHP2Shell indica una coppia di vulnerabilità zero-day/critiche scoperte nel motore core di PHP (CVE-2026-109618 e CVE-2026-109619). Queste vulnerabilità consentono ad attaccanti non autenticati di eseguire codice arbitrario (RCE) su server che eseguono configurazioni vulnerabili di PHP.

   ┌───────────────────────────────┐
   │     Unauthenticated Attacker  │
   └───────────────┬───────────────┘
                   │
                   ▼ 🟣 Exploit Payload
   ┌───────────────────────────────┐
   │   PHP Engine Core Processing  │
   │ (Stream Filters / PHAR Arch)  │
   └───────────────┬───────────────┘
                   │
                   ▼ ⚡
   ┌───────────────────────────────┐
   │   Arbitrary Shell Execution   │
   └───────────────────────────────┘

⚡ Dettagli della vulnerabilità

Parametro	Dettagli
Vulnerabilità	CVE-2026-109618 e CVE-2026-109619
Punteggio CVSS v4.0	9.2 (Critico)
Vettore	CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
Impatto	Esecuzione di codice remoto non autenticata (RCE)
Software interessato	PHP 5.x, PHP 7.x, PHP 8.0, 8.1, 8.2, 8.3, 8.4

🟣 Analisi delle minacce

1. CVE-2026-109618: Corruzione della memoria heap nei filtri di stream

• Meccanismo: Violazione della sicurezza della memoria attivata durante l'elaborazione del buffer interno nei filtri di stream di PHP.
• Vettore di sfruttamento: La manipolazione dei parametri dello stream consente a un attaccante di controllare gli indirizzi di memoria e ottenere l'esecuzione di codice.

2. CVE-2026-109619: Difetto logico nella gestione degli archivi PHAR

• Meccanismo: Difetto nella logica di parsing e deserializzazione dei wrapper degli archivi PHP (.phar).
• Vettore di sfruttamento: Input di intestazione controllati dall'attaccante portano all'invocazione arbitraria di funzioni.

---

📸 Demo

---

🛡️ Mitigazione e rimedio

1. Aggiornare i pacchetti PHP

La soluzione più efficace è aggiornare immediatamente il server ai più recenti binari PHP corretti:

# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade php8.3-cli php8.3-fpm

# RHEL / CentOS / Rocky Linux
sudo dnf update php

2. Soluzioni di emergenza (per ambienti EOL)

Se la tua applicazione si basa su versioni End-of-Life (EOL) (ad esempio PHP 7.x o 8.0) che non ricevono patch di sicurezza ufficiali:

• 🟣 Disabilita i filtri di stream / le funzioni pericolose: Modifica il tuo file php.ini:

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,phar

• 🟣 WAF / Filtraggio di rete: Implementare regole rigorose per il web application firewall (WAF) al fine di bloccare le richieste contenenti protocolli di stream serializzati (php://filter/, phar://).
• 🟣 Isolamento di rete: Isolare i server legacy dietro reti interne/VPN rigorose.

---

🔍 Rilevamento e verifica

Per verificare se il tuo server che esegue PHP è potenzialmente vulnerabile:

# Check running PHP version
php -v

# Check loaded modules and PHAR settings
php -i | grep -i "phar"

🤝 Contribuire

Contributi, aggiornamenti sulle minacce e regole di rilevamento (YARA / Sigma) sono benvenuti!

1. Esegui il fork del repository
2. Crea un branch per la funzionalità (git checkout -b feature/sigma-rule)
3. Esegui il commit delle modifiche (git commit -m 'Add Sigma detection rule')
4. Esegui il push sul branch (git push origin feature/sigma-rule)
5. Apri una Pull Request

---

📜 Disclaimer

Questo repository è creato puramente per scopi educativi, difensivi e di ricerca. I manutentori non sono responsabili per usi impropri o attività illegali compiute con le informazioni qui fornite.