In questo articolo Indice dei contenuti 3 sezioni
Due gravi vulnerabilità in PHP hanno spinto diversi enti pubblici europei a spegnere per precauzione alcuni dei loro siti istituzionali. Il linguaggio di programmazione coinvolto regge una fetta enorme del web. Le falle scoperte permetterebbero a un aggressore di eseguire codice sui server senza alcuna autenticazione, con la possibilità concreta di arrivare fino ai dati custoditi nei sistemi. Le prime contromisure sono scattate in Finlandia, Paesi Bassi, Germania, Francia e Repubblica Ceca.
Il nome scelto per le due falle è PHP2Shell. Nel catalogo internazionale delle vulnerabilità compaiono come CVE del 2026 con i numeri 109618 e 109619. C’è un dettaglio che colpisce più di altri. Secondo i ricercatori quei difetti si nascondevano nel codice da oltre dieci anni, senza che nessuno se ne accorgesse.
Scoperte con l’aiuto dell’intelligenza artificiale
A scovarle sono state due società di cybersicurezza, Calif e Wiz, che hanno lavorato anche con il supporto dell’intelligenza artificiale. Calif si è affidata al modello GPT 5.6 Sol di OpenAI. Wiz invece ha messo al lavoro diversi modelli avanzati, sia per analizzare il codice sia per verificare se i problemi individuati potessero essere davvero sfruttati da un attaccante.
Il motivo di tanto allarme sta nella diffusione capillare di PHP. Il linguaggio risulta impiegato nel 69,3% dei siti di cui si conosce la tecnologia usata lato server. Ci girano sopra piattaforme notissime come WordPress e Drupal, oltre a MediaWiki, il software che fa funzionare Wikipedia. Un aspetto rende la faccenda ancora più delicata. Le falle colpiscono direttamente PHP e quindi possono essere sfruttate anche quando le singole applicazioni sono scritte in modo impeccabile e non presentano difetti propri. In pratica anche un sito curato nei minimi particolari resta esposto se poggia su una versione vulnerabile del linguaggio.
Portali spenti in mezza Europa
Nei Paesi Bassi sono stati disattivati temporaneamente vari portali governativi. In Finlandia alcuni servizi web pubblici sono stati sospesi e anche Germania e Francia hanno deciso di fermare diverse piattaforme. Pure la Wikimedia Foundation ha spento per prudenza una parte dei propri sistemi. Lo stop però non significa che questi siti abbiano già subito un attacco. Si tratta di una misura preventiva. Per i servizi ancora offline bisognerà aspettare che gli amministratori portino a termine gli interventi necessari a renderli di nuovo sicuri.
Gli aggiornamenti da installare subito
Le correzioni sono già disponibili. Gli aggiornamenti di PHP che chiudono le falle corrispondono alle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Adesso la palla passa a chi gestisce i siti, che dovrebbe installarli dando priorità ai server esposti su Internet. È la stessa raccomandazione arrivata dall’agenzia europea ENISA e dal National Cyber Security Centre britannico.
Quando non è possibile aggiornare nell’immediato, la strada indicata è isolare i sistemi vulnerabili oppure spegnerli per il tempo necessario. La situazione più complicata riguarda chi lavora ancora con vecchie versioni di PHP ormai prive di supporto. In questi casi potrebbe non bastare intervenire sul linguaggio e diventare necessario mettere mano anche al resto dell’infrastruttura.
Fonte: TecnoAndroid