Nel giro di pochi giorni una falla critica nel linguaggio di programmazione PHP ha acceso l'allarme nel mondo della cybersecurity. Il linguaggio è alla base di una quota enorme dei siti web: secondo alcuni esperti fino al 70% del web dipende da PHP. Le due vulnerabilità, insieme chiamate PHP2shell e identificate con i codici CVE-2026-109618 e CVE-2026-109619, permettono a un attaccante non autenticato di eseguire codice sui server. Sono state corrette il 21 ottobre con un aggiornamento d'emergenza, ma nel frattempo gli attacchi erano già cominciati.
A trovarle sono stati ricercatori che usavano modelli di intelligenza artificiale. Tra questi, Sagi Tzadik, ricercatore della società di sicurezza Wiz, che aveva chiesto a un agente AI di verificare se una debolezza trovata in WordPress funzionasse anche contro Drupal. L'agente ha fallito, ma nel tentativo ha segnalato una falla in PHP, rimasta nascosta per più di dieci anni. L'exploit funzionava. In parallelo, la società Calif, lavorando con OpenAI, aveva individuato una falla correlata.
Immagine: Anthropic — https://www.anthropic.com/research/attack-navigator
La rapidità con cui la notizia si è diffusa ha reso il quadro più pericoloso. Le informazioni sulle vulnerabilità hanno iniziato a circolare due giorni prima della data prevista per la patch, e i manutentori di PHP hanno anticipato il rilascio di un giorno. Poche ore dopo, Calif ha pubblicato per errore un video che mostrava l'exploit in azione, e i tentativi di sfruttamento si sono moltiplicati. Cloudflare ha contato migliaia di tentativi prima dell'annuncio, decine di migliaia nei 45 minuti successivi e centinaia di migliaia entro due ore, fino a milioni. Amazon Threat Intelligence ha segnalato un tentativo di attacco già il 17 ottobre, quattro giorni prima della divulgazione pubblica.
Siti offline in via precauzionale
Anche dopo il rilascio della patch, molti siti sono stati oscurati per precauzione mentre i team di sicurezza installavano l'aggiornamento. Tra questi figurano siti di enti governativi e sanitari, testate giornalistiche e parti di Wikipedia. Negli Stati Uniti il NSA ha raccomandato a chiunque usi PHP di applicare le correzioni subito, avvertendo che le falle potrebbero permettere di rubare dati sensibili, interrompere servizi o avanzare all'interno di una rete. Nei Paesi Bassi il Centro nazionale per la sicurezza informatica (NCSC) sta verificando segnalazioni di attacchi riusciti, senza però avere per ora prove che siti olandesi siano stati colpiti.
Il timore di un'ondata di falle
Sono proprio i dirigenti del settore a parlare della portata del fenomeno. Il vice responsabile della sicurezza di Anthropic, Jason Clinton, ha parlato di una "ondata di vulnerabilità" nei prossimi mesi, avvertendo che non ci sarà tempo sufficiente per correggere le infrastrutture critiche. Sam Altman ha detto di non ritenere più possibile correggere tutti i bug. Matthew Prince, CEO di Cloudflare, ha previsto che i prossimi due anni saranno "incredibilmente difficili", con strumenti dotati di "infinita pazienza" pronti a cercare falle su tutta la rete. Marc Benioff, CEO di Salesforce, ha definito la situazione un "code red".
Il dibattito che si apre riguarda il rapporto di forza tra difesa e attacco. Lo stesso strumento che aiuta a trovare le falle può servire a sfruttarle, e la finestra tra scoperta e correzione si restringe. Per chi gestisce un sito basato su PHP, il consiglio della NSA è netto: aggiornare subito e considerare i siti non aggiornati come potenzialmente compromessi.
Ancora nessun commento. Puoi essere il primo!