Ing. Calogero Bono
Il 9 novembre 2026 il CSIRT Italia, presso l'ACN, ha pubblicato l'alert AL05/261109 sugli aggiornamenti Check Point per le vulnerabilità critiche note come PHP2Shell. Riguardano Firewall, Cloud Firewall, Security Gateway e Spark Firewall. Un attaccante remoto non autenticato potrebbe eseguire codice arbitrario sul dispositivo. Conta perché si tratta di apparati di perimetro, quelli che dovrebbero proteggere la rete dell'azienda.
Qualche termine, prima di entrare nei fatti. PHP2Shell è il nome dato a due vulnerabilità, CVE-2026-109618 e CVE-2026-109619, nel runtime PHP integrato nei prodotti. Remote Code Execution significa eseguire comandi a distanza sul dispositivo. Hotfix è una correzione rilasciata dal produttore per una specifica versione. EoS indica una versione fuori supporto, per cui il vendor potrebbe non rilasciare correzioni. IPS è il sistema che blocca il traffico ritenuto malevolo.
Cosa ha segnalato l'ACN su PHP2Shell?
L'alert dell'ACN segue tre comunicazioni precedenti sulle stesse vulnerabilità (AL07/261021, AL01/261025 e AL10/261028). Ora Check Point ha pubblicato un bollettino sull'impatto sui propri prodotti, con hotfix e mitigazioni.
Secondo il vendor, lo sfruttamento passa da richieste costruite ad arte verso le interfacce web esposte dai dispositivi. L'ACN ricorda inoltre che informazioni tecniche sullo sfruttamento sono disponibili pubblicamente, ed è per questo che chiede di intervenire con tempestività.
Quali prodotti e funzioni sono interessati?
Sono interessati i prodotti che usano almeno una di queste funzioni.
- Mobile Access Portal (non per Spark)
- Remote Access VPN con SSL Network Extender (non per Spark)
- Remote Access VPN con autenticazione SAML Realm abilitata
- Identity Awareness Captive Portal abilitato
- UserCheck Portal
- Zero Phishing
Per Firewall, Cloud Firewall e Security Gateway le versioni sono R81.20, R82, R82.10 e R82.20, più diverse release EoS da R80 a R81.10. Per Spark Firewall si parla di R81.10.x e R82.00.x, oltre a R77.20.x e R80.20.x fuori supporto.
Cosa non risulta vulnerabile?
Check Point ha precisato che Security Management Server e Log Server non risultano vulnerabili. Lo stesso vale per i servizi Check Point Portal e SaaS, già aggiornati. Il vendor ha dichiarato anche che i suoi prodotti non sono affetti dalla vulnerabilità CVE-2026-115560.
Chi usa solo queste componenti, o nessuna delle funzioni elencate, ha quindi un'esposizione diversa. Resta da verificare apparato per apparato, perché l'elenco dipende da cosa è attivo.
Come si applicano hotfix e mitigazioni?
L'ACN, in linea con il vendor, indica questi passaggi.
- Installare l'hotfix della propria versione su tutti i sistemi interessati.
- Se in precedenza hai applicato la mitigazione manuale, rimuovere prima le modifiche al file $CPDIR/web/Apache/conf/cp-httpd.conf.
- Riavviare l'apparato a fine installazione.
- Se non puoi aggiornare subito, usare le mitigazioni temporanee della sezione "Mitigation" del bollettino.
Le versioni R82.20 hanno una protezione integrata, la IPS "PHP Remote Code Execution", che Check Point indica come efficace anche senza HTTPS Inspection e senza abilitare il modulo IPS. Non sostituisce comunque l'hotfix.
Limiti da conoscere
L'alert dell'ACN riassume il bollettino del vendor e non descrive attacchi osservati in Italia. Non sappiamo quanti apparati siano esposti. Per le versioni EoS il vendor potrebbe non rilasciare alcun hotfix, quindi per quei sistemi il quadro può cambiare. Le istruzioni di dettaglio vanno lette nel bollettino Check Point, che qui non è tra le fonti consultate.
Cosa cambia per chi lavora con il digitale
Se gestisci reti aziendali o ne affidi la gestione, la prima cosa è sapere quale versione gira sui firewall e quali funzioni sono attive. Portali VPN e Captive Portal sono spesso esposti a internet per scelta. Per chi cura server e hosting gestiti il tema è lo stesso, aggiornare in fretta ciò che è raggiungibile dall'esterno. Il caso ricorda anche quello di Fragnesia, sotto attacco insieme a PHP2Shell. Se un apparato è fuori supporto, va pianificata la sostituzione.
Il nostro parere
Il dato più scomodo è la lista delle versioni EoS, molte e vecchie. Un firewall dimenticato in produzione per anni è un rischio che nessun hotfix risolve. Pesa anche che la vulnerabilità stia in un componente accessorio, il PHP delle interfacce web, e non nel motore di filtraggio. Spesso si pensa al firewall come a un blocco monolitico, mentre ha superfici di gestione e accesso da curare. Chi vende sicurezza dovrebbe renderle meno esposte per impostazione predefinita.
Domande frequenti
Cosa sono le vulnerabilità PHP2Shell?
Sono due falle critiche, CVE-2026-109618 e CVE-2026-109619, nel runtime PHP integrato in alcuni prodotti Check Point. Potrebbero permettere a un attaccante remoto non autenticato di eseguire codice sul firewall.
Quali prodotti Check Point sono colpiti?
Firewall, Cloud Firewall, Security Gateway e Spark Firewall che usano funzioni come Mobile Access Portal, VPN con SAML, Captive Portal, UserCheck o Zero Phishing. Security Management Server e Log Server non risultano vulnerabili.
Cosa devo fare subito?
Installa l'hotfix della tua versione e riavvia l'apparato. Se non puoi, applica le mitigazioni temporanee del bollettino Check Point. Se avevi già la mitigazione manuale, rimuovila prima dell'hotfix.
R82.20 è già protetto?
Ha una protezione integrata, la IPS "PHP Remote Code Execution", che il vendor indica come efficace anche senza HTTPS Inspection. Non sostituisce però l'hotfix, precisa l'ACN.
E le versioni non più supportate?
Per le versioni EoS il vendor potrebbe non rilasciare alcun hotfix. In quel caso restano le mitigazioni temporanee e, nel medio periodo, il passaggio a una versione supportata.
Cosa controllare nelle prossime settimane sui firewall esposti
L'alert è la quarta comunicazione ACN su PHP2Shell, quindi la vicenda non è chiusa. Vale la pena seguirne gli sviluppi.
- Controlla se l'ACN pubblica nuovi aggiornamenti dell'alert, visto che i precedenti sono già tre.
- Verifica con il fornitore se le versioni EoS in uso avranno un hotfix o vadano sostituite.
- Dopo l'hotfix, controlla che le modifiche manuali al file di configurazione siano state tolte e i servizi funzionino.
