Interruzione preventiva dei servizi cloud
Il fornitore italiano di sistemi per la casa connessa Came ha sospeso temporaneamente le funzioni online dei suoi servizi Came Domotica e Came Antintrusione a partire dal 26 ottobre 2026. La misura è stata adottata in via precauzionale dopo la diffusione delle vulnerabilità note come PHP2Shell, che interessano il motore PHP utilizzato sui server web.
«Poiché alcuni dei nostri servizi online sono potenzialmente esposti – è il messaggio inviato ad alcuni clienti lunedì – abbiamo sospeso temporaneamente i servizi interessati, incluse le funzionalità online relative ai sistemi Came Domotica e Antintrusione. Questa decisione è puramente preventiva ed è stata adottata per ridurre al minimo qualsiasi potenziale rischio per la sicurezza. I servizi saranno nuovamente disponibili entro il 29 ottobre 2026». — Came
Secondo le informazioni diffuse sulle falle, le due vulnerabilità tracciate come CVE-2026-109618 e CVE-2026-109619 permettono in condizioni favorevoli l'esecuzione remota di codice (RCE) senza autenticazione, poiché derivano da errori nella gestione della memoria e nella gestione degli errori fatali di PHP. Il punteggio assegnato alle due CVE secondo la scala CVSS v4.0 è pari a 9,2, indicativo di criticità elevata.
Cosa significa per chi ha un impianto Came
- Impianti locali funzionanti: le unità installate nelle abitazioni continuano a operare in modo autonomo per le funzioni essenziali; la sospensione riguarda le funzionalità gestite via cloud e il controllo remoto.
- Controllo da remoto sospeso: non saranno disponibili fino al ripristino dei servizi le interfacce cloud per gestire impianti e allarmi da smartphone o portali remoti.
- Decisione preventiva: Came ha motivato la scelta come misura per ridurre al minimo i rischi di accessi non autorizzati o compromissione dei server.
Correzioni, versioni PHP interessate e impatto più ampio
I fix per PHP legati a PHP2Shell sono stati resi disponibili dal progetto PHP con una distribuzione d'emergenza il 21 ottobre 2026: tra le versioni rilasciate figurano 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Le due criticità non riguardano un'applicazione sviluppata da Came, ma il motore PHP impiegato sui server web che ospitano servizi cloud. Questo spiega perché la portata potenziale sia molto più ampia della sola domotica: PHP è stimato alla base di circa 70% dei siti web a livello internazionale, e server non aggiornati possono esporre applicazioni e dati sensibili.
| Elemento | Informazione |
|---|---|
| Vulnerabilità | PHP2Shell — CVE-2026-109618, CVE-2026-109619 |
| Punteggio CVSS | 9,2 (CVSS v4.0) |
| Patch PHP | Versioni 8.5.12, 8.4.27, 8.3.36, 8.2.35 (rilasciate 21 ottobre 2026) |
| Sospensione servizi Came | Dal 26 ottobre 2026; ripristino previsto entro il 29 ottobre 2026 |
Perché PHP2Shell preoccupa la domotica
La criticità di PHP2Shell risiede nella possibilità che una richiesta HTTP appositamente costruita attivi l'esecuzione di codice sul server prima che la logica dell'applicazione venga eseguita. Per un servizio cloud che gestisce funzioni di domotica e sistemi di allarme, una compromissione di questo tipo può tradursi in accesso a informazioni sugli impianti, alle configurazioni degli utenti e, in scenari peggiori, all'installazione di strumenti persistenti sul server che consentono controllo o esfiltrazione di dati.
Cosa è stato segnalato dalle ricerche e dalle autorità
Le vulnerabilità sono state individuate con il supporto di team di sicurezza fra cui Calif e Wiz, che hanno sfruttato modelli di intelligenza artificiale per il rilevamento. Il documento di rilascio delle correzioni e le valutazioni del rischio hanno spinto anche alcune organizzazioni a raccomandare l'aggiornamento immediato dei server PHP esposti al web. In Italia il CSIRT (Centro nazionale per la cybersecurity) ha monitorato la situazione e diffuso indicazioni sul livello di esposizione dei servizi online; parte delle comunicazioni tecniche e delle analisi sono state riprese da testate tech specializzate.
Che cosa possono fare gli utenti
- Verificare le comunicazioni ufficiali di Came per confermare tempistiche e eventuali istruzioni specifiche.
- Controllare la disponibilità delle funzionalità locali dell'impianto e, se necessario, predisporre alternative per la gestione della sicurezza domestica (ad esempio numeri di emergenza o modalità manuali di attivazione).
- Monitorare gli aggiornamenti software e le comunicazioni dell'installatore o del fornitore per il ripristino del controllo remoto.
La sospensione dei servizi cloud da parte di un grande fornitore come Came evidenzia quanto sia centrale nella domotica la sicurezza dell'infrastruttura server e non soltanto quella dei dispositivi in casa. L'aggiornamento tempestivo dei componenti software a livello server rimane una delle contromisure più efficaci per limitare l'impatto di vulnerabilità critiche come PHP2Shell.
