Falla nel codice PHP, due vulnerabilità mettono a rischio il 70% dei siti Web: lo ha scoperto l’AI

Milioni di siti Web potrebbero essere esposti ad attacchi informatici a causa di alcune vulnerabilità CRITICHE individuate nel codice di PHP, un linguaggio di programmazione utilizzato da circa il 70% dei siti Web di tutto il mondo. Le due falle, rimaste nascoste per anni, potrebbero consentire agli hacker di prendere il controllo dei server, sottrarre informazioni riservate e modificare i contenuti delle pagine online. La scoperta di queste falle, rimaste per decenni latenti, è stata fatta dai ricercatori delle agenzie di sicurezza Calif e Wiz, che si sono serviti di avanzati strumenti basati sull’intelligenza artificiale. Il 21 ottobre gli sviluppatori di PHP hanno rilasciato aggiornamenti di sicurezza per correggerli, mentre diverse autorità hanno invitato le organizzazioni a intervenire immediatamente o, in alternativa, a disattivare temporaneamente i siti vulnerabili.

Wiz, una delle due società che hanno scovato le vulnerabilità, ha spiegato che «queste scoperte figurano tra le vulnerabilità più gravi mai individuate in PHP e, probabilmente, nella storia del software». OpenAI, che ha fornito gli strumenti AI con cui le falle sono state individuate, ha definito la scoperta come «uno dei problemi di sicurezza più gravi degli ultimi tempi». Vediamo più da vicino cos’è accaduto e come questo riguarda ciascuno di noi da vicino.

Cos’è il linguaggio PHP e cosa si rischia con le falle scoperte nei siti web

Per capire la portata del problema segnalato dagli esperti di cybersecurity dobbiamo innanzitutto capire cos’è la tecnologia PHP. Partiamo dal significato di questo acronimo: PHP sta per Hypertext Preprocessor. Si tratta di un linguaggio di programmazione impiegato soprattutto per realizzare siti Web dinamici, cioè capaci di mostrare contenuti che cambiano in base alle richieste degli utenti o alle informazioni presenti nei database. È considerato da molti una sorta di spina dorsale del Web, in quanto questo linguaggio percorre buona parte della rete, visto che è alla base di numerose piattaforme per gestire i contenuti dei siti Internet, tra cui WordPress, Joomla, Drupal e MediaWiki.

Avete già capito dove vogliamo andare a parare: se la tecnologia PHP ha una vulnerabilità e se questa tecnologia è impiegata in un modo o nell’altro nella costruzione di buona parte dei siti Web, capite bene che le falle trovate dai ricercatori assumono una rilevanza enorme. Non è una notizia che riguarda semplicemente i nerd e gli appassionati di questo mondo: ma riguarda tutti gli utenti che usano il Web.

Andando a zoomare sulla questione, vediamo che i ricercatori di sicurezza informatica di Wiz, che insieme a quelli della società Calif hanno individuato i difetti, le vulnerabilità interessano le versioni di PHP rilasciate nell’ultimo decennio, a partire dalla 5.4. Tra i problemi identificati figurano difetti nella gestione della memoria e la possibilità di eseguire codice da remoto senza autenticazione. La gestione della memoria riguarda il modo in cui un programma utilizza le risorse necessarie per elaborare le informazioni e una falla in questo punto può rendere accessibili a possibili aggressori dei dati che dovrebbero rimanere protetti. L’esecuzione di codice da remoto, invece, permette a un criminale informatico di impartire istruzioni a un sistema attraverso una rete, senza dover essere fisicamente davanti al computer. Oltretutto, l’assenza di autenticazione rende il rischio particolarmente serio, perché l’attaccante potrebbe non avere bisogno di dimostrare la propria identità per tentare di sfruttare questa particolare falla.

Se un attacco riuscisse, le conseguenze potrebbero includere il furto di dati sensibili, il controllo del server e persino la modifica delle pagine pubblicate. Quanto sono gravi le due falle scoperte dai ricercatori? Per capirlo dovete tener presente che entrambe, sia quella contrassegnata dal codice CVE-2026-109618 che quella classificata come CVE-2026-109619, hanno ricevuto un punteggio di 9.2 nella scala CVSS v4.0, che va da 0 a 10 (con 10 come punteggio peggiore registrabile).

Il contributo dell’AI

A rendere la vicenda particolarmente rilevante è il contributo che ha avuto l’intelligenza artificiale in tutto questo. Sì perché i ricercatori hanno utilizzato modelli avanzati, detti di frontiera, in grado di analizzare enormi quantità di codice in tempi molto più celeri e questo ha permesso di individuare problemi potenzialmente pericolosi con una rapidità difficile da raggiungere attraverso le sole verifiche tradizionali. I difetti, secondo gli esperti, erano presenti da decenni. Avete letto bene, esistevano da decenni. L’AI ha reso molto più semplice individuarli.

Ma attenzione. La stessa tecnologia, nelle mani sbagliate, potrebbe essere utilizzata da criminali informatici senza scrupoli per sfruttare queste falle (finora sconosciute) a proprio vantaggio. Una volta che i dettagli tecnici diventano pubblici, altri criminali informatici possono studiarli per costruire un exploit, ovvero un metodo o un programma che sfrutta una falla nel sistema per provocare un comportamento non previsto nel software. Per questo gli esperti temono che i tentativi di attacco possano aumentare nelle settimane successive alla divulgazione dell’attacco.

La risposta Europea e come proteggersi dalle due vulnerabilità

La risposta internazionale è stata rapida. In Germania, il fornitore federale di servizi informatici ITZBund ha disattivato diversi siti a titolo preventivo, precisando che non risultavano incidenti di sicurezza. In Francia, il Ministero dell’Interno ha sospeso temporaneamente i portali delle prefetture in attesa di una correzione. Il Belgio ha adottato misure analoghe, mentre nei Paesi Bassi sono stati messi offline servizi pubblici, siti di ospedali, quello del porto di Rotterdam e portali di partiti politici vari. Anche Finlandia e Repubblica Ceca hanno sospeso alcuni servizi governativi. La Wikimedia Foundation, l’organizzazione che gestisce Wikipedia, ha inoltre rimosso temporaneamente alcuni sistemi per proteggerli fino alla loro riparazione.

Naturalmente, la disattivazione preventiva di questi siti non dimostra necessariamente che siano già stati attaccati. Presumibilmente è stata una misura preventiva intrapresa per evitare che qualcuno potesse sfruttare la vulnerabilità prima dell’installazione degli aggiornamenti. Gli sviluppatori di PHP, nella giornata di ieri, mercoledì 21 ottobre, hanno infatti rilasciato un aggiornamento di sicurezza che dovrebbe aver risolto i problemi evidenziati dai ricercatori.

I gestori dei siti hanno la responsabilità di installare prontamente gli aggiornamenti disponibili e anche di verificare che i sistemi non siano stati già in qualche modo compromessi. Autorità del calibro della National Cyber Security Centre del Regno Unito, per esempio, hanno inviato anche a verificare l’eventuale presenza di backdoor. I semplici internauti che navigano online non hanno molto da fare per difendersi, se non sperare che i siti Web che frequentano abitualmente stiano implementando queste patch di sicurezza.

non perderti questo articolo

È vero che cambiare spesso le password aumenta la sicurezza informatica? No, secondo gli esperti