PHP2Shell: il 92,6% degli attaccanti era già noto a OneFirewall.
Il 21 ottobre 2026 un'ondata di tre ore di richieste automatiche ha colpito gli endpoint .php di membri dell'Alliance. 25 dei 27 IP sorgente erano già nel database di OneFirewall e hanno inviato il 99,96% dei tentativi.
Basta una richiesta a un file PHP vulnerabile.
Gli attaccanti scansionano internet in cerca di file PHP da sfruttare: un form di upload vulnerabile, un endpoint eval o una web shell lasciata da un'intrusione precedente. Un solo colpo andato a segno dà loro l'esecuzione remota di codice sul web server, e tutto ciò che ne segue.
- 01ScansioneRichieste automatiche sondano i percorsi .php su tutta internet.
OneFirewall blocca qui - 02ExploitUn form di upload, un endpoint eval o una vecchia web shell accetta il payload.
- 03EsecuzioneL'attaccante esegue codice sul web server.
- 04EspansioneDati e credenziali vengono rubati e l'attaccante si muove nella rete interna.
- 05MonetizzazioneViene installato un ransomware o il server entra in una botnet.
Una regola di blocco agisce al passo 1: un IP noto non raggiunge mai l'endpoint PHP, quindi i passi successivi non iniziano mai.
Da meno di 100 richieste l'ora a 15.562.
La serata era tranquilla fino alle 20:00 UTC. Poi sono arrivati 6.284 tentativi nella prima ora, 15.562 nella seconda e 10.406 nella terza, e l'ondata si è fermata di colpo così come era iniziata.
Tentativi per ora, 21 ottobre 2026, UTC. In arancione l'ondata.
Quasi tutti gli attaccanti avevano già uno score, e quasi sempre alto.
OneFirewall assegna a ogni IP un crime score da 0 a 1000, costruito su ciò che segnalano i membri dell'Alliance. Al momento di ciascun evento, 25 IP su 27 avevano uno score di almeno 10 e 17 erano già Critical (150 o più), con l'89,6% del traffico.
| Soglia di blocco (score minimo) | IP bloccati | Quota di IP | Quota di tentativi | IP che passano |
|---|---|---|---|---|
| 10 | 25 su 27 | 92,6% | 100,0% | 2 |
| 30 | 23 su 27 | 85,2% | 99,9% | 4 |
| 80 | 20 su 27 | 74,1% | 90,9% | 7 |
| 150 (Critical) | 17 su 27 | 63,0% | 89,6% | 10 |
Score al momento di ciascun evento. 100,0% è arrotondato: il 99,96% dei tentativi proveniva da IP noti.
Alcuni attaccanti erano noti da oltre un anno, altri da meno di un giorno.
Dei 25 IP noti, 12 avevano ricevuto uno score più di un mese prima dell'attacco. 5 sono stati individuati solo nei 7 giorni precedenti e 2 nelle ultime 24 ore: l'intelligence di un membro raggiunge tutti gli altri abbastanza in fretta da fare la differenza.
Quando ciascuno dei 25 IP noti ha ricevuto il primo score da OneFirewall. In arancione gli ultimi 7 giorni.
Gli IP Critical hanno inviato nove tentativi su dieci.
17 dei 25 IP con score erano Critical e hanno inviato 28.899 tentativi. Gli IP Medium ne hanno inviati 3.190, gli High 145 e i Low 4.
| IP | Paese | Tentativi | Score |
|---|---|---|---|
| 216.36.112.x | US | 5.330 | 436 |
| 171.34.139.x | CN | 4.940 | 677 |
| 80.94.95.x | RO | 4.685 | 444 |
| IP | Paese | Tentativi | Score |
|---|---|---|---|
| 171.34.139.x | CN | 4.940 | 677 |
| 103.160.205.x | ID | 2.647 | 584 |
| 169.58.137.x | US | 4.390 | 558 |
Critical 150 o più, High da 90 a 150, Medium da 40 a 90, Low sotto 40. L'ultimo ottetto di ogni IP è mascherato.
Gli attaccanti noti vengono fermati alla prima richiesta.
Ecco come OneFirewall contiene attacchi di exploitation come PHP2Shell: prima che venga applicata una patch e prima che qualcuno nel SOC abbia letto un alert.
Noti prima della prima richiesta
25 dei 27 IP erano nel database di OneFirewall prima dell'inizio dell'ondata. Una regola di blocco sul firewall li avrebbe fermati alla prima richiesta, prima che venisse toccato qualsiasi file PHP.
Condivisi rapidamente nell'Alliance
Un IP segnalato da un membro riceve uno score e viene inviato a tutti i membri. 5 di questi attaccanti avevano ricevuto uno score solo nei 7 giorni precedenti l'attacco, 2 nelle ultime 24 ore.
Sicuri da bloccare in automatico
Gli IP con score High o Critical hanno inviato il 90% dell'ondata. Con questa affidabilità la regola può essere applicata senza che una persona approvi ogni blocco.
Applicato sul firewall che già usi
Il WCF Agent invia la lista con score a una qualsiasi delle 166+ integrazioni, tra cui Check Point, Fortinet e Palo Alto: il blocco avviene sul perimetro, non nell'applicazione.
Scopri le integrazioni →Raccomandazione: imposta la soglia di blocco sotto 150. A 150, 10 di questi 27 IP sarebbero passati. A 80 vengono bloccati 20 IP su 27 e il 91% del traffico. Applica anche le patch o rimuovi gli endpoint PHP di upload ed eval esposti.
Come sono stati prodotti questi numeri
- Fonte: eventi in tempo reale dei membri dell'Alliance che hanno aderito alla ricerca e condividono il proprio traffico, 21 ottobre 2026, dalle 20:00 alle 23:00 UTC. Dati elaborati dal team SOC di OneFirewall.
- I numeri contano i tentativi, non le compromissioni confermate.
- Gli score sono il crime score che ogni IP aveva al momento di ciascun evento.
- Sono inclusi solo i membri aderenti, quindi i numeri sottostimano la reale dimensione dell'ondata su internet.
- L'ultimo ottetto di ogni indirizzo IPv4 è mascherato.