Tech Flash Daily (30 ottobre 2026): PHP2Shell ora sfruttata contro i firewall, patch urgente per PHP

Admin - 30 Ottobre 2026 - Tempo di lettura: 9 minuti

Venerdì con tre falle già sfruttate da sistemare prima del weekend: PHP, Cisco ASA e VMware ESX. Se gestite un sito o un server, partite dal box qui sotto. Poi si stacca la spina: Game Pass carico di novità, i titoli indie in arrivo su Switch e un progetto Raspberry Pi per il fine settimana.

Avvisi di sicurezza

Le notizie del giorno

PHP2Shell: dagli honeypot agli attacchi veri contro i firewall

Le due falle di PHP chiamate "PHP2Shell" (CVE-2026-109618 e CVE-2026-109619) consentono l'esecuzione di codice da remoto senza autenticazione (RCE). Nell'aggiornamento del 29 ottobre, Unit 42 di Palo Alto Networks segnala attacchi reali contro le interfacce di gestione di PAN-OS esposte su Internet. In una campagna osservata, PHP2Shell è stata concatenata a una falla del kernel Linux per ottenere i privilegi di root. Le correzioni sono uscite il 21 ottobre. Secondo ACN, al 25 ottobre in Italia c'erano oltre 285.000 servizi PHP potenzialmente vulnerabili; l'Agenzia sta avvisando circa 60.000 titolari di domini.

Perché conta: PHP fa girare gran parte dei siti italiani, compresi tanti CMS di PMI e associazioni. Aggiornate anche il PHP installato dai pacchetti della distribuzione e controllate nei log richieste anomale e crash dei processi PHP. Fonti: Unit 42, Adnkronos su dati ACN

Cisco ASA e FTD: la VPN può far riavviare il firewall

Cisco ha corretto CVE-2026-76418 (CVSS 8.6) nel servizio VPN SSL di Secure Firewall ASA e FTD e dice di sapere di attacchi in corso da ottobre. Il problema nasce quando su un gruppo di tunnel è attiva l'autenticazione secondaria. Un attaccante non autenticato può inviare una richiesta costruita ad arte e far riavviare l'apparato, interrompendo la rete (denial of service). Chi non può aggiornare subito può disattivare l'autenticazione secondaria sui gruppi interessati, compreso il gruppo predefinito.

Perché conta: non porta al furto di dati, ma un firewall che si riavvia lascia a terra smart working e sedi remote. Fonte: The Hacker News

VMware ESX: una falla "minore" usata per non lasciare tracce

Il 28 ottobre CISA ha inserito CVE-2026-41709 nel catalogo KEV. Ha un punteggio basso (CVSS 2.7) e richiede già privilegi di amministratore. Però permette di compiere alcune operazioni su ESX senza che finiscano nei log. Secondo CrowdStrike, un gruppo legato alla Cina l'ha sfruttata come zero-day a inizio 2026 contro obiettivi statunitensi, tra cui studi legali. La correzione è disponibile da luglio nel bollettino VMSA-2026-0006.

Perché conta: il CVSS da solo non dice tutto. Applicate le build corrette e inviate i log di ESXi a un server esterno. Fonte: The Hacker News

Game Pass, 29 ottobre: arriva Final Fantasy VII Remake

Giornata piena per gli abbonati Xbox. Final Fantasy VII Remake Intergrade entra in Game Pass Ultimate e PC Game Pass su Series X|S, PC e cloud. Con lui arrivano Mouthwashing, Plants vs. Zombies: Replanted e Terrible Lizards. Tra le altre uscite del giorno ci sono The Wolf Among Us Remastered e gli aggiornamenti next-gen gratuiti di Metro Redux per Series X|S.

Perché conta: il weekend è coperto anche senza comprare nulla. Controllate lo spazio libero prima di scaricare. Fonte: Pure Xbox

Switch: date dei nuovi indie e Minecraft per Switch 2

Nintendo ha fissato le date dei titoli mostrati all'Indie World. Sword of the Sea esce il 29 ottobre e RaccoIn: Chaos Max Edition arriva su Switch 2 il 10 novembre. Witchbrook è previsto per il 28 gennaio 2027, Slime Rancher 2 su Switch 2 a gennaio 2027. Sull'eShop ci sono demo gratuite, tra cui quelle di Haunted Paws e RaccoIn. Minecraft riceve inoltre l'edizione Switch 2 con grafica Vibrant Visuals, gratuita per chi ha la versione digitale per Switch.

Perché conta: chi ha Minecraft in digitale su Switch ottiene l'upgrade senza spendere. Fonte: The Toy Book

Progetto del weekend: un Apple II dentro il Raspberry Pi

Sul blog ufficiale di Raspberry Pi è uscita una guida per emulare l'Apple II con LinApple, una versione per Linux dell'emulatore AppleWin. Il programma non è nei repository di Raspberry Pi OS. Va compilato dai sorgenti con cmake, poi si avvia un disco di esempio. La guida mostra anche come usare il mouse come joystick e come lanciare un piccolo programma in BASIC. Fa parte della serie tratta dal libro The Raspberry Pi Guide to Retro Gaming.

Perché conta: è un buon esercizio di compilazione su Linux e di storia dell'informatica. Usate solo immagini disco e ROM che avete il diritto di usare. Fonte: Raspberry Pi News (26 ottobre).

Prima di spegnere il PC per il weekend, fate una prova: sul vostro hosting o server lanciate php -v e confrontate la versione con quelle corrette nel box in alto. Se siete su hosting condiviso, scrivete al fornitore e chiedete se ha già aggiornato. E voi, quanti siti PHP gestite e quanto ci avete messo ad aggiornarli? Raccontatelo nei commenti.