Sgravi falle di sicurezza rivelate: Paesi di tutto il mondo chiudono siti web

Le agenzie governative e le imprese private di diversi continenti hanno messo offline i siti web mercoledì dopo la rivelazione di due vulnerabilità critiche di sicurezza in PHP, un linguaggio di programmazione che supporta una parte sostanziale dell'infrastruttura web globale. L'immediata chiusura dei servizi digitali è avvenuta dopo che i dettagli riguardanti i difetti sono stati divulgati pubblicamente martedì, spingendo a misure di emergenza difensive prima del rilascio ufficiale di una patch.

Le vulnerabilità consentono agli aggressori di ottenere accesso non autorizzato ai file o ai database del server e di eseguire codice remoto senza autenticazione, rappresentando una grave minaccia per sistemi che vanno dai negozi al dettaglio online e dai portali di notizie ai servizi statali essenziali. L'Agenzia per la Sicurezza Nazionale degli Stati Uniti ha emesso una rara direttiva pubblica che esorta le organizzazioni a aggiustare immediatamente i sistemi vulnerabili o rimuoverli dalla rete. In una dichiarazione pubblicata sulla piattaforma di social media X, l'agenzia ha osservato che i difetti spesso forniscono un percorso diretto verso un file system o un database del server. Gli aggressori potrebbero sfruttare queste lacune per prendere il controllo dei server web senza richiedere password.

L'NSA ha consigliato a tutte le entità che utilizzano PHP di prepararsi ad un aggiornamento che affronti le due vulnerabilità critiche con effetto immediato. Altri organismi, tra cui il Computer Emergency Response Team dell'Unione europea e il National Cyber Security Centre del Regno Unito, hanno emesso avvisi simili raccomandando l'identificazione dei sistemi interessati e l'installazione di aggiornamenti. Le vulnerabilità, denominate collettivamente PHP2Shell, sono state identificate con l'aiuto di modelli avanzati di intelligenza artificiale. Wiz ha stimato che PHP alimenta circa il 70% dei siti web in tutto il mondo.

L'azienda ha descritto le scoperte come tra le più gravi vulnerabilità trovate in PHP, e probabilmente nella storia del software. Sebbene i difetti di codice sottostanti esistessero da decenni, Wiz ha dichiarato che dimostrare la loro sfruttabilità richiedeva una complessa sequenza di passaggi vicino al limite di ciò che i ricercatori umani potevano praticamente raggiungere. I volontari che mantengono il linguaggio PHP hanno rilasciato una correzione mercoledì. La Fondazione PHP, un'organizzazione no-profit che finanzia gli sviluppatori che lavorano sul linguaggio, ha esortato gli utenti ad aggiornare immediatamente i loro sistemi. Sul suo blog, la fondazione ha dichiarato che l'aggiornamento è imperativo per chiunque esegua PHP.

Volker Dusch, un ingegnere di sicurezza della PHP Foundation, ha detto al Wall Street Journal che questo rappresenta il problema più grave che PHP ha affrontato in oltre un decennio. Ha paragonato la situazione a Heartbleed, un errore di sicurezza del 2014 che ha innescato una corsa globale per aggiustare i sistemi. La fuga di dettagli tecnici di martedì ha accelerato la risposta alla crisi. Prima della perdita, gli sviluppatori erano stati informati in modo confidenziale e le informazioni rimasero segrete mentre la patch era in fase di sviluppo. L'esposizione prematura ha costretto i governi ad agire preventivamente.

In Francia, il Ministero degli Interni ha annunciato che i siti web dei governi locali, incluso il sito della polizia di Parigi, sono diventati inaccessibili mercoledì pomeriggio su richiesta dell'Agenzia nazionale francese per la sicurezza informatica. Nei Paesi Bassi, il servizio nazionale di identità digitale DigiD, il sito web della Camera dei Rappresentanti e persino il sito del Centro Nazionale per la Sicurezza Informatica sono stati messi offline per precauzione, secondo la rete pubblica olandese NOS. Il Ministero federale tedesco per la trasformazione digitale e la modernizzazione del governo ha confermato di aver messo alcuni siti web offline come misura preventiva.

L'Ufficio federale tedesco per la sicurezza delle informazioni ha avvertito che le vulnerabilità rappresentavano una minaccia per le applicazioni web a livello globale. I rapporti hanno indicato che numerose amministrazioni pubbliche, università e ospedali in Germania hanno rimosso le loro pagine da Internet. In Belgio, il Ministero degli Esteri ha temporaneamente disabilitato i propri siti web, anche se il centro nazionale per la sicurezza informatica non ha riportato attacchi registrati su siti belgi. Il governo ceco ha anche sospeso i suoi siti web per attuare misure di protezione. Il Primo Ministro del Giappone Sanae Takaichi ha pubblicato un post sui social media per avvertire i cittadini del rischio di PHP.

Le autorità finlandesi hanno anche confermato di aver chiuso specifici siti web per applicare la patch di sicurezza. L'incidente evidenzia una tendenza più ampia nella sicurezza del software, in cui modelli di intelligenza artificiale sempre più capaci stanno scoprendo le vulnerabilità a un ritmo rapido. Il numero di vulnerabilità scoperte nel 2026 dovrebbe essere approssimativamente il doppio del totale record dell'anno precedente. OpenAI ha caratterizzato il bug come una delle vulnerabilità più impattanti della memoria recente, affermando che segna una nuova fase in cui l'intelligenza artificiale può identificare bug di sicurezza con impatto su scala Internet.

Ethan Mollick, professore alla Wharton School dell'Università della Pennsylvania che studia l'intelligenza artificiale, ha osservato che le aziende stanno lottando per tenere il passo con la velocità necessaria per installare patch di sicurezza contro gli attacchi informatici guidati dall'IA. Ha osservato che i consumatori dovranno probabilmente far fronte a richieste frequenti e urgenti di aggiornamenti del sistema in futuro. La diffusa dipendenza da PHP significa che l'impatto potenziale si estende ben oltre i settori governativi, colpendo le entità commerciali e gli utenti individuali che si affidano al linguaggio per la loro presenza digitale.

La risposta globale coordinata sottolinea la natura critica dei difetti e il ruolo crescente degli strumenti automatizzati sia nella scoperta che nello sfruttamento delle debolezze del software.