Collegare le CVE di PHP2Shell al traffico che le cerca senza falsi positivi
Un log HTTP non dice quale vulnerabilità stava cercando chi ha fatto la richiesta. Dice un metodo, un percorso, uno user agent. Da lì a "questa è la CVE tale" c'è un salto che si può fare in modo onesto oppure in modo sbagliato, e il modo sbagliato produce classifiche che sembrano analisi e non lo sono. Su dodici anni di richieste non sollecitate il salto regge solo partendo dalle firme pubbliche, con quattro filtri e una coda di revisione umana. Continua a leggere
Ultima modifica:
Le due vulnerabilità che il mondo della sicurezza ha chiamato PHP2Shell sono state segnalate al progetto PHP in agosto, corrette in ottobre e pubblicate un giorno prima del previsto perché i dettagli erano trapelati. Portano a esecuzione di codice remoto senza autenticazione e riguardano ogni server che serve pagine PHP. La storia di come sono arrivate fin qui spiega anche perché il controllo che quasi tutti fanno, cioè guardare il numero di versione, qui non risponde. 
Una partizione /boot da 256 MB, tre kernel accumulati, un initrd cresciuto negli anni fino a 80 MB, e l'aggiornamento del kernel muore a metà con No space left on device: dpkg resta in stato incoerente e ogni comando apt da lì in poi fallisce. Lo stallo ha una via d'uscita ordinata che non passa dalla reinstallazione, a patto di liberare spazio senza toccare dpkg, completare la configurazione e rimuovere i kernel vecchi nell'ordine giusto. 
Da quando hai aggiornato a Debian 13, ogni apt update ti saluta con lo stesso avviso sulle sorgenti da modernizzare. Non è rumore di fondo, è la migrazione ufficiale dal formato one-line di sources.list al formato deb822, quello che le installazioni nuove di trixie adottano già. Fra i due formati cambia più di quanto sembri, e il motivo serio per migrare non è l'avviso che ti annoia ma la direttiva Signed-By e ciò che ti permette di fare con le chiavi dei repository. 
Un major upgrade eseguito via SSH ha una proprietà che nessun altro intervento sistemistico condivide: lo strumento con cui lavori è anche la prima cosa che rischi di rompere. La connessione che cade a metà di un dpkg, il prompt su sshd_config accettato di fretta, il firewall che riparte male, ognuno di questi errori ha già chiuso qualcuno fuori dalla propria macchina. La sequenza che uso per portare un VPS da bookworm a trixie li mette in conto tutti e tre. 
Fra il 15 e il 28 agosto 2026, 1.045 sviluppatori Debian hanno votato su otto opzioni diverse, dal divieto totale scritto nel Social Contract alla messa al bando per ragioni climatiche. Ha vinto la via di mezzo: nessun divieto, nessun endorsement, responsabilità piena e personale di chi contribuisce. Vale la pena leggere cosa dice davvero la GR 2026-002, come si posiziona rispetto ai divieti di Gentoo e QEMU, e perché funziona anche come modello di policy per un'azienda. 
L'upgrade a Debian 13 è andato liscio, i servizi sono ripartiti, e giorni dopo il backup notturno muore con No space left on device mentre il disco è mezzo vuoto. Non è un guasto, è un cambio di default: da trixie /tmp vive in RAM come tmpfs, con un tetto pari a metà della memoria, e il primo processo che se ne accorge è quello che ci scrive dentro gigabyte. La catena spiega anche perché esplode sempre di notte, e porta a tre correzioni sensate più quella che tutti provano per prima. 
Il passaggio di Debian 12 in LTS è avvenuto senza banner né avvisi: apt continua a funzionare, gli aggiornamenti arrivano, e proprio per questo quasi nessuno si è accorto che a mantenerli non è più il security team ufficiale. Vale la pena sapere cosa copre davvero il supporto fino a giugno 2028, quali pacchetti ne restano fuori, cosa significa per le immagini debian:12 nelle pipeline, e quali cinque comandi raccontano in che situazione è il tuo VPS. 
Le applicazioni in produzione si degradano in silenzio finché non si rompono. Una checklist mensile di manutenzione preventiva per una PMI: audit delle dipendenze e dei CVE, verifica dei backup e del ripristino, rotazione e revisione dei log, controllo delle performance e dello spazio disco. Il lavoro poco visibile che evita l'incidente costoso, organizzato in una routine ripetibile invece che lasciato all'emergenza. 
systemd 257 arriva in Debian 13 con feature nuove e almeno un CVE che un sysadmin deve conoscere: l'escape-to-host di nspawn. Cosa cambia davvero nella gestione quotidiana, le novità che vale la pena adottare, e il pattern corretto degli override quando si modifica un'unit di sistema senza romperla al prossimo aggiornamento. Operativo, da campo, per chi gestisce servizi su un parco di server reale.