Gli attaccanti stanno tentando di arruolare server PHP vulnerabili in "Potassium", una botnet derivata da Mirai creata per gli attacchi distribuiti di negazione del servizio (DDoS) — ma finora la campagna ha faticato a decollare. Il codice sorgente di Mirai è diventato pubblico nel 2016, e le botnet discendenti da questo ceppo hanno alimentato alcune delle più grandi campagne DDoS mai registrate. The Hacker News ha riferito il 23 ottobre che nessuna compromissione di server era stata confermata, anche se i tentativi di sfruttamento hanno raggiunto le centinaia di migliaia.

Le vulnerabilità prese di mira

La campagna si concentra su due vulnerabilità PHP, CVE-2026-109618 e CVE-2026-109619, entrambe con punteggio di gravità di 9,2 su 10 — un livello che rientra pienamente nella fascia critica della scala CVSS — e entrambe consentono l'esecuzione remota di codice senza autenticazione, il che significa che un attaccante non necessita di credenziali per eseguire comandi su un server vulnerabile. PHP ha rilasciato le patch il 21 ottobre, ma a quel punto gli hacker avevano già iniziato a lanciare attacchi contro le vulnerabilità.

Milioni di sonde, zero intrusioni confermate

I dati indicano quanto ampiamente gli attaccanti stiano esplorando. Imperva ha registrato 482.342 tentativi di richiesta in 122.311 sessioni dirette a 21.998 siti in 103 Paesi nell'arco di 24 ore. Nel frattempo, Censys ha riferito di aver rilevato oltre 41 milioni di servizi PHP esposti a Internet con versioni interessate, con solo circa 1 milione di istanze che eseguono versioni patchate del software al 22 ottobre — lasciando la stragrande maggioranza dei server esposti senza una correzione un intero giorno dopo il rilascio delle patch. I conteggi dell'attività di scansione o dell'esposizione non sono sufficienti a dimostrare che si sia verificata una reale compromissione.

Cosa ha visto Sophos, per poi ritirarlo

Arctic Wolf riferisce che tentativi di esecuzione di comandi e download di malware sono stati attribuiti a Potassium. Una valutazione separata in ambiente sandbox ha rivelato un campione diverso che contattava thunder.godofthunder[.]st tramite l' 134.199.154[.]64 sulla porta TCP 50792 e attaccava due host ucraini. Ciò ha dimostrato il potenziale del malware, ma non che gli attaccanti abbiano violato server di produzione. Il 22 ottobre, Sophos ha ritirato un precedente annuncio di successo, dichiarando a The Record di aver osservato solo tentativi di attacco non andati a buon fine.

24 comandi flood e un interruttore ENS dormiente

Arctic Wolf ha rivelato che Potassium include 24 comandi flood che coprono tutti i tipi di ICMP, TCP, UDP e OpenVPN. Sia la versione ARM che quella x86-64 del malware contengono anche la funzionalità di lookup di Ethereum Name Service (ENS) — un sistema di denominazione decentralizzato che gira sulla blockchain di Ethereum anziché sulla gerarchia DNS tradizionale — ma la funzione è disattivata in entrambe le istanze. Ethereum ed ENS non sono stati compromessi. Se attivata, tuttavia, la lookup ENS potrebbe rendere più difficile bloccare i server di comando della botnet con i normali controlli DNS e IP.

PoC inutili contro un exploit privato funzionante

Molti exploit proof-of-concept (PoC) pubblici falliscono contro le difese di produzione, in particolare la randomizzazione del layout dello spazio degli indirizzi (ASLR), una tecnica di hardening che randomizza la posizione in memoria del codice e dei dati di un programma così che gli exploit non possano puntare in modo affidabile a indirizzi fissi. Spencer McIntyre di VulnCheck ha descritto molti dei campioni in circolazione come "spazzatura e non funzionanti", come citato da The Record.

Tale protezione, però, non è infallibile. VulnCheck ha sviluppato un exploit privato che aggira l'ASLR su PHP 8.4.26 con configurazione di produzione, estendendo successivamente il supporto a selezionate build 8.4 e 8.5. John Hultquist di Google ha definito la minaccia "viable e molto seria", secondo The Record.

Perché una botnet DDoS preoccupa gli operatori di hosting e criptovalute

La minaccia più ampia è già sostanziale. Cloudflare ha registrato 935 attacchi DDoS superiori a 1 terabit al secondo durante la prima metà del 2026, secondo il suo rapporto sulle minacce. Quegli attacchi non sono stati attribuiti a Potassium, ma illustrano il disruption a cui fanno fronte i provider di hosting, i processori di pagamento e le piattaforme crittografiche. Nessuna perdita finanziaria è stata collegata a PHP2Shell.

Il nuovo avviso di PHP e cosa monitorare

Il 23 ottobre, PHP ha divulgato un'altra problematica, CVE-2026-115560, relativa a una configurazione applicativa inusuale. In attesa di una correzione ordinaria, raccomanda di impostare session.upload_progress.enabled=0, una direttiva di configurazione che disabilita la funzione di upload-progress di PHP, che serve anche come mitigazione per CVE-2026-109619.

Gli amministratori dovrebbero installare PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, riavviare i worker affinché i processi in esecuzione carichino effettivamente il codice patchato, e monitorare eventuali download sospetti. Il CISO di Cobalt Andrew Obadiaru ha avvertito che lattuale periodo di quiete equivale a "tempo preso in prestito", come citato da The Record.