Due gravi falle in PHP mandano offline i siti web governativi

Alcune vulnerabilità presenti in PHP, uno dei linguaggi di programmazione più utilizzati per realizzare e gestire siti web, ha fatto scattare un allarme di sicurezza su scala internazionale, spingendo diversi governi a mettere temporaneamente offline alcuni dei propri servizi online. La decisione è stata presa a livello precauzionale, dopo la pubblicazione di aggiornamenti di sicurezza destinati a correggere due falle critiche e le segnalazioni di tentativi di sfruttamento da parte di soggetti potenzialmente malevoli.

La vicenda coinvolge in particolare Paesi Bassi, Francia, Danimarca e Finlandia, ma le conseguenze non si limitano alle istituzioni europee. Anche in Canada è stata annunciata la sospensione temporanea di alcuni servizi, mentre Wikipedia e Internet Archive hanno adottato misure per mettere in sicurezza i propri sistemi. Nel frattempo, gli sviluppatori di PHP hanno invitato tutti gli utenti ad applicare quanto prima le nuove correzioni.

Segui TuttoTech.net su Google Discover

Pubblicità-24%

Amazon

Amazfit Cheetah 2 Pro

343,44€449,90€

Vai all'offerta

Cosa sta succedendo e quali siti sono stati disattivati

PHP è un linguaggio utilizzato per gestire i contenuti e le funzionalità di una parte consistente del web, è alla base di piattaforme molto diffuse come WordPress, Drupal, Joomla e Magento, una sua vulnerabilità critica può quindi avere ripercussioni ben oltre i singoli siti che utilizzano direttamente il linguaggio.

L’agenzia olandese per la sicurezza informatica ha interrotto le proprie attività online a titolo precauzionale, nei Paesi Bassi lo stop ha interessato anche il portale governativo Overheid.nl, il porto di Rotterdam, la federazione calcistica nazionale KNVB, i siti dei cinque maggiori partiti politici e diversi portali ospedalieri.

In Danimarca, Kombit, l’azienda informatica che gestisce servizi per i comuni, ha annunciato la chiusura temporanea di diverse piattaforme, compreso il sistema nazionale di comunicazione scolastica. In Finlandia, il fornitore di servizi IT Valtori ha invece confermato la disattivazione precauzionale dei servizi di rete pubblica del governo. La Francia ha adottato una misura analoga, con il Ministero dell’Interno che ha posto i propri siti web in modalità di manutenzione preventiva.

La risposta non ha riguardato soltanto gli enti pubblici, anche il gestore di Wikipedia ha disattivato un numero non precisato di sistemi in attesa degli aggiornamenti necessari, mentre Internet Archive ha dichiarato di aver interrotto brevemente alcune attività per affrontare il problema. Si tratta di interventi che puntano a ridurre il rischio di intrusioni durante la fase in cui i sistemi vulnerabili devono ancora essere aggiornati.

Il motivo dell’urgenza è legato alle possibili conseguenze delle vulnerabilità: secondo quanto riportato, un aggressore potrebbe sfruttarle per infiltrarsi in un sistema che utilizza PHP e arrivare potenzialmente ad assumerne il controllo; non si tratta quindi soltanto di un problema di disponibilità di siti web, ma anche di una minaccia per la sicurezza dei server e dei servizi che vi operano.

La scoperta grazie all’IA e i primi tentativi di attacco

Uno degli aspetti più rilevanti della vicenda riguarda il ruolo dell’intelligenza artificiale nella scoperta delle falle, due società di sicurezza informatica hanno individuato indipendentemente le vulnerabilità ricorrendo a strumenti basati sull’IA. Calif ha riferito di aver identificato il problema il 1° agosto grazie a un modello linguistico di grandi dimensioni, mentre Wiz ha dichiarato di aver utilizzato Wiz Atlas, il proprio strumento autonomo per la ricerca di vulnerabilità, insieme a Gemini 4 Argon di Google e GPT-5.6 Sol di OpenAI.

Le vulnerabilità erano presenti nel codice sorgente di PHP da oltre un decennio, ma sono state individuate soltanto di recente. Le due società avrebbero poi collaborato tra loro, con il team di PHP e con OpenAI per arrivare alla scoperta e alla correzione del problema. Secondo quanto riportato da Wiz, individuare e sfruttare manualmente falle di questo tipo sarebbe stato particolarmente difficile, l’impiego dell’intelligenza artificiale tuttavia, cambia anche il quadro dei rischi: strumenti capaci di analizzare il codice e individuare rapidamente le debolezze possono essere utilizzati non soltanto dai ricercatori, ma anche da potenziali aggressori.

Il problema è che la disponibilità pubblica delle correzioni può rendere più semplice per gli attaccanti comprendere il funzionamento delle vulnerabilità e cercare sistemi che non abbiano ancora installato gli aggiornamenti. Costin Raiu, cofondatore della società di ricerca sulla sicurezza informatica e di risposta agli incidenti TLP, ha descritto questa dinamica come una corsa allo sfruttamento delle falle, avvertendo del rischio di compromissioni su vasta scala dei server web vulnerabili.

Un tentativo di sfruttamento era stato inoltre rilevato da Amazon il 17 ottobre, quattro giorni prima della divulgazione pubblica della vulnerabilità. Secondo CJ Moses, responsabile della sicurezza dell’azienda, l’attività era stata individuata su un sistema honeypot, cioè un ambiente-esca utilizzato per osservare possibili attacchi. Non è chiaro come l’autore del tentativo fosse venuto a conoscenza delle falle prima della scadenza dell’embargo.

Amazon ha riferito di aver rilevato altri tentativi da parte di diversi soggetti prima della scadenza dell’embargo e ha segnalato che le vulnerabilità risultavano ormai ampiamente sfruttate in rete. L’azienda ha però precisato che non era ancora chiaro se i tentativi osservati avessero avuto successo contro siti web reali.

Quanti siti sono a rischio e cosa fare

L’allarme riguarda un numero elevato di sistemi, secondo i dati della società di analisi Censys, circa 1,5 milioni di host su 2,6 milioni segnalavano l’utilizzo di una versione di PHP per la quale non era disponibile una correzione. Il dato restituisce la dimensione del problema, anche se non significa automaticamente che tutti questi host siano stati attaccati o compromessi.

Secondo W3Techs, PHP è utilizzato da circa il 75% dei siti web per i quali è possibile identificare il linguaggio di programmazione. Una diffusione così ampia aiuta a comprendere perché le agenzie di sicurezza informatica stiano invitando gli amministratori ad agire senza ritardi. Tiffany Farris, amministratrice delegata ad interim della Dupral Association, ha affermato che tutti i server che utilizzano una qualsiasi versione di PHP rilasciata negli ultimi vent’anni saranno vulnerabili, sottolineando quanto sia esteso il potenziale impatto della vicenda.

Le indicazioni degli sviluppatori e delle autorità sono chiare: chi gestisce server o siti basati su PHP deve applicare le patch di sicurezza rilasciate il 21 ottobre oppure, se non può aggiornare immediatamente i sistemi, valutare la sospensione temporanea dei servizi esposti. L’obbiettivo è limitare le opportunità di attacco, soprattutto ora che le vulnerabilità sono state rese pubbliche e possono essere analizzate anche attraverso strumenti automatizzati.

La situazione può essere particolarmente delicata per i siti più piccoli, gestiti da singoli sviluppatori o organizzazioni con risorse tecniche limitate e spesso ospitati su server condivisi. In questi casi, chi amministra il sito potrebbe non avere accesso diretto all’infrastruttura sottostante e dover quindi verificare con il proprio provider quali misure siano già state adottate.

Non tutti i servizi PHP, però, sono necessariamente esposti allo stesso modo. Automatic, che gestisce WordPress.com e Tumblr, ha dichiarato che gli utenti delle proprie soluzioni di hosting erano protetti dalle vulnerabilità. La situazione va quindi valutata in base all’infrastruttura utilizzata e agli aggiornamenti applicati, senza dare per scontato che ogni sito sia vulnerabile o, al contrario, al sicuro.

Anche in Canada sono state adottate misure precauzionali, Evan Solomon, ministro canadese dell’Intelligenza artificiale e dell’Innovazione digitale, ha annunciato su X la sospensione temporanea di alcuni servizi, invitando tutti i gestori di siti web che utilizzano PHP ad aggiornare i propri sistemi il prima possibile.

Negli Stati Uniti invece, la Cybersecurity and Infrastructure Security Agency (CISA) ha diffuso una nota con cui incoraggia le organizzazioni ad applicare le nuove patch della PHP Foundation. La Casa Bianca ha dichiarato di essere stata informata del problema venerdì. Governi e operatori informatici sono quindi chiamati a intervenire rapidamente per limitare il rischio di ulteriori intrusioni, mentre la vicenda mostra come l’intelligenza artificiale possa accelerare sia la scoperta di vulnerabilità sia i tentativi di sfruttarle.