Panico da PHP: due governi europei spengono i propri siti pur di non farsi hackerare

L’allarme lanciato ieri sulla vulnerabilità “PHP2Shell” — la falla nella gestione della memoria di PHP individuata con il contributo dell’intelligenza artificiale — si è tradotto in poche ore in una risposta concreta da parte di più governi europei. Le autorità per la cybersicurezza di Stati Uniti (CISA), Regno Unito, Canada, Australia e Unione Europea hanno diramato avvisi congiunti invitando gli amministratori di sistema a disconnettere dalla rete i siti vulnerabili fino al completamento dell’aggiornamento. Il governo finlandese ha disconnesso i propri siti istituzionali mercoledì, mentre in Olanda la Camera dei rappresentanti (Tweede Kamer) ha fatto altrettanto con i propri portali, scegliendo di sospendere temporaneamente il servizio piuttosto che esporsi al rischio.

Le vulnerabilità, censite con le sigle CVE-2026-109618 e CVE-2026-109619, riguardano la gestione degli errori nelle richieste HTTP: quando PHP esaurisce la memoria disponibile nel processare una richiesta di grandi dimensioni, può lasciare la memoria stessa in uno stato vulnerabile, che un aggressore è in grado di manipolare per mandare in crash un processo, sottrarre dati o eseguire codice arbitrario sul server. Secondo la NSA, che ha diramato un proprio avviso tecnico, “queste vulnerabilità forniscono spesso un percorso diretto al file system o al database del server”.

Le stime sulla portata del problema variano ma convergono su numeri enormi: PHP alimenta circa il 70% dei siti web mondiali; un ricercatore indipendente ha stimato oltre 1,3 milioni di siti concretamente vulnerabili, mentre Palo Alto Networks ha calcolato oltre 22,6 milioni di istanze esposte su internet. Cisco avverte inoltre che circa metà delle installazioni raggiungibili dall’esterno utilizza versioni troppo datate per ricevere la correzione, restando quindi permanentemente a rischio salvo aggiornamento completo del sistema. Gli sviluppatori di PHP hanno diffuso un messaggio netto: “Tutti gli utenti di PHP sono fortemente incoraggiati ad aggiornare immediatamente”.

Sul fronte della minaccia concreta, il ricercatore di sicurezza Nicholas Weaver ha riferito di segnalazioni di exploit già attivi nel mondo reale, mentre Jake Knott, responsabile dell’intelligence sulle minacce di watchTowr, ha precisato che finora non risultano compromissioni riuscite, pur ritenendo che sia solo questione di tempo. La società di sicurezza Wiz ha definito la falla tra le più gravi mai riscontrate nella storia di PHP. Anche la Casa Bianca è intervenuta, dichiarando di coordinarsi con le agenzie federali e con i laboratori di intelligenza artificiale per “proteggere le reti e le infrastrutture critiche americane”; la stessa OpenAI, coinvolta nella scoperta iniziale della falla, ha commentato che l’episodio “dimostra come l’IA possa scoprire falle di sicurezza con un impatto su scala globale”.

La vicenda ha una ricaduta immediata: un sito istituzionale o aziendale basato su PHP non aggiornato espone l’ente a un rischio concreto di violazione di dati personali, con i conseguenti obblighi di notifica al Garante privacy ai sensi degli articoli 33 e 34 del GDPR qualora l’exploit venga effettivamente sfruttato prima del completamento della patch.

Resta aggiornato

Segui Servicematica sui social

Notizie, aggiornamenti e interruzioni, ogni giorno nel tuo feed.

Facebook Instagram LinkedIn Telegram