---
title: Un gruppo di hacker sospettato di legami con la Corea del Nord prepara attacchi tramite PHP2Shell
url: https://www.dataloco.com/it/un-gruppo-di-hacker-sospettato-di-legami-con-la-corea-del-nord-prepara-attacchi-tramite-php2shell
published: 2026-10-26T16:32:20+00:00
language: it
section: Sicurezza
source: https://www.dailysecu.com/news/articleView.html?idxno=209035
organizations: CYFIRMA
publisher: Dataloco
---

# Un gruppo di hacker sospettato di legami con la Corea del Nord prepara attacchi tramite PHP2Shell

Un gruppo di hacker, che potrebbe essere collegato alla Corea del Nord, è stato individuato mentre prepara attacchi contro istituzioni governative e società finanziarie in vari paesi, inclusa la Corea del Sud, sfruttando una vulnerabilità di sicurezza critica di PHP denominata PHP2Shell.

L'azienda di intelligence sulle minacce informatiche CYFIRMA ha riferito in un rapporto del 23 ottobre che un utente che parla coreano sta selezionando obiettivi e verificando codici di attacco pubblici attraverso reti di comunicazione private. Questa attività è tracciata come campagna Giugno 2026 Minjun. Gli aggressori hanno discusso l'identificazione di server PHP vulnerabili per nazione e settore all'interno di canali privati della rete anonima I2P, utilizzando l'intelligenza artificiale per valutare l'applicabilità dei codici di attacco.

I potenziali obiettivi includono istituzioni governative e banche, con priorità assegnata a Corea del Sud, Stati Uniti, Giappone, Taiwan, Thailandia, Indonesia, India, Singapore, Australia, Emirati Arabi Uniti, Arabia Saudita e membri dell'Unione Europea. Altri settori di interesse comprendono l'industria manifatturiera, la logistica, il trasporto marittimo, l'aviazione, le piattaforme di trading online, il commercio e l'edilizia.

Secondo CYFIRMA, sono state condivise 15 informazioni relative alle infrastrutture per la preparazione degli attacchi, con l'obiettivo di stilare una prima lista di bersagli entro il 25 ottobre. Tuttavia, non sono state confermate le date di inizio degli attacchi né l'elenco specifico dei server bersaglio. In un periodo di otto ore il 23 ottobre, sono stati identificati 17 indirizzi IP sospetti che tentavano di sfruttare le funzioni di caricamento file e le web shell di PHP.

Nonostante i sospetti, non sono state acquisite prove dirette che colleghino queste attività a gruppi di hacker della Corea del Nord o che gli indirizzi IP appartengano a tale organizzazione. CYFIRMA ha assegnato un livello di fiducia medio al possibile collegamento con il gruppo Lazarus. Non sono stati confermati casi di successo di intrusioni in aziende o enti pubblici della Corea del Sud.

Le vulnerabilità PHP2Shell, identificate come CVE-2026-109618 e CVE-2026-109619, hanno un punteggio di rischio di 9,2 e permettono l'esecuzione di comandi malevoli senza autenticazione. Poiché il problema risiede nel motore di esecuzione PHP e non nei plug-in, l'aggiornamento di programmi come WordPress non è sufficiente. CYFIRMA raccomanda l'aggiornamento immediato alle versioni PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 e il riavvio dei processi di lavoro.