PHP2Shell e Node2Shell: Insignary rilascia uno scanner gratuito per Linux

• Insignary rilascia insignary-chk, scanner gratuito e in sola lettura per Linux x86_64
• Copre CVE-2026-109618, CVE-2026-109619 (PHP, CVSS 9.2) e CVE-2026-111497 (Brotli/Node.js)
• La CISA ha inserito PHP2Shell e Node2Shell nel catalogo KEV
• Aggiornare a PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 e Node.js 22.23.4, 24.22.1, 26.12.1

Il 6 novembre 2026 la società canadese Insignary, con sede a Toronto, ha rilasciato insignary-chk, uno strumento gratuito che verifica se server Linux e immagini container sono esposti a due vulnerabilità recenti nei runtime PHP e Node.js, chiamate PHP2Shell e Node2Shell. Entrambe sono state inserite dalla CISA nel catalogo Known Exploited Vulnerabilities.

Le vulnerabilità

PHP2Shell indica due falle nel runtime PHP, CVE-2026-109618 e CVE-2026-109619. Ciascuna ha punteggio 9.2 (critico) con CVSS v4.0 e può permettere a un attaccante non autenticato di eseguire codice da remoto. Sono a rischio i server che gestiscono richieste web con PHP, tra cui Apache mod_php, PHP-FPM, php-cgi, FrankenPHP e LiteSpeed.

Il PHP Project ha pubblicato le correzioni il 21 ottobre 2026 nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. PHP 8.1 e precedenti sono a fine vita e non ricevono più rilasci ufficiali.

Node2Shell è CVE-2026-111497, una scrittura fuori dai limiti (out-of-bounds write) nella libreria di decompressione Brotli di Google, inclusa in Node.js. Dati compressi appositamente costruiti possono mandare in crash l’applicazione, esporre la memoria o consentire l’esecuzione di codice remoto. La correzione è disponibile in Node.js 22.23.4, 24.22.1 e 26.12.1. I rami non più supportati, come la 20.x e le precedenti, non ricevono ulteriori patch di sicurezza.

Perché serve un controllo mirato

Le falle risiedono nel runtime e non nel codice applicativo. Per questo, secondo Insignary, la sola revisione del codice sorgente non basta. Occorre individuare anche le istanze di PHP incorporate nel software di terze parti e nelle immagini container.

Come funziona lo strumento

• È un singolo file, senza installazione né registrazione. Funziona su Linux x86_64; Windows, macOS e arm64 non sono ancora supportati.
• Per impostazione predefinita è in sola lettura: legge i file, non esegue ciò che trova e non modifica nulla, salvo che l’utente scelga l’opzione --fix.
• Non invia dati in rete, salvo che l’utente attivi un’opzione che si collega a un indirizzo da lui indicato.
• Controlla anche le copie di Brotli esterne a Node.js, come la libreria di sistema e il pacchetto Python brotli.
• Non segnala come «Likely vulnerable» i rami a fine vita come Node.js 20.x. Li indica come «Check with OS vendor» se installati da pacchetto di distribuzione, oppure «Unable to determine» se provengono da nodejs.org o da compilazione manuale. Lo stesso vale per le versioni PHP a fine vita.

Il report ordina le priorità: «Act now» per i file vulnerabili usati da un processo in esecuzione, «Fix soon» per il software vulnerabile installato ma non attivo, «Review» per i casi da verificare a mano. Seguono i dettagli per ogni server o immagine.

Cosa fare

Aggiornare PHP e Node.js alle versioni corrette indicate sopra. Per i rami a fine vita, verificare lo stato delle patch con il fornitore della distribuzione Linux oppure passare a una versione supportata. Vanno controllati anche i prodotti di terze parti e i container che includono questi runtime.

Lo strumento è proposto da Insignary come complemento alla propria famiglia di prodotti Clarity, basata su analisi binaria della composizione software (SCA). Chi usa già Clarity può confermare i risultati con l’opzione --clarity. Il CEO Taek Wan Kim ha dichiarato che l’obiettivo è permettere a qualsiasi organizzazione di verificare server e container in pochi minuti, senza modificare i sistemi.

Fonte: Cyber Security News · Foto: Cyber Security News