Mercoledì i siti web governativi in Europa e in altre parti del mondo sono andati offline dopo che la scoperta di vulnerabilità critiche in un linguaggio di programmazione ampiamente utilizzato ha spinto gli operatori di siti web di tutto il mondo a correre ai ripari per proteggere i propri sistemi.
Mercoledì gli sviluppatori del linguaggio di programmazione PHP hanno rilasciato nuove correzioni urgenti per le vulnerabilità che si annidavano silenziosamente nel loro software da anni, fino a quando non sono state scoperte grazie all’intelligenza artificiale, invitando tutti gli utenti ad “aggiornare immediatamente”.
Con le aziende tecnologiche che avvertivano che alcuni hacker stavano già sfruttando le falle, le agenzie governative di tutta Europa sono state tra quelle che hanno messo offline i siti per precauzione.
Poiché la correzione è ora di dominio pubblico e gli strumenti di intelligenza artificiale sono in grado di decodificare il bug con minimo sforzo, gli esperti hanno dichiarato di prepararsi a un’ondata di intrusioni, dato che gli hacker si sono affrettati a anticipare gli aggiornamenti.
L’intelligenza artificiale sta alimentando una “corsa allo sfruttamento”, ha affermato Costin Raiu, cofondatore della società di ricerca sulla sicurezza informatica e risposta agli incidenti TLP:Black. Ha aggiunto che il passo successivo sarebbe stato la “compromissione di massa di ogni server web vulnerabile su Internet”.
PHP – un linguaggio che risale ai primi anni ’90 e che inizialmente stava per “Personal Home Page” – è alla base di gran parte del web accessibile al pubblico ed è integrato nei siti WordPress, Drupal, Joomla e Magento, il che significa che qualsiasi vulnerabilità critica può potenzialmente avere enormi ripercussioni a catena.
“Tutti i server che utilizzano qualsiasi versione di PHP rilasciata negli ultimi 20 anni saranno vulnerabili”, ha affermato Tiffany Farriss, amministratore delegato ad interim della Drupal Association. “Questo problema ha un impatto sulla maggior parte di Internet”.
Le agenzie di sicurezza informatica di tutto il mondo hanno esortato gli utenti PHP ad aggiornare immediatamente i propri sistemi o a mettere offline i siti web fino a quando non sarà possibile applicare le patch.
Secondo i dati di Censys, società specializzata in analisi di Internet, circa 1,5 milioni su 2,6 milioni di host segnalano di utilizzare una versione di PHP per la quale non è disponibile alcuna correzione.
La stessa agenzia olandese per la sicurezza informatica si è disconnessa, spiegando di averlo fatto a titolo precauzionale a causa delle vulnerabilità. Anche il gestore dell’enciclopedia online Wikipedia ha dichiarato di aver messo fuori servizio un numero non specificato di sistemi fino a quando non fosse stato possibile applicare le patch in modo sicuro, mentre l’Internet Archive, la vasta biblioteca online, ha affermato di essersi a sua volta disconnessa brevemente per affrontare il problema.
Persino alcuni leader mondiali, che di solito non si occupano di aggiornamenti software, sono intervenuti. Il primo ministro olandese ha dichiarato di stare monitorando attentamente la situazione. Il primo ministro giapponese Sanae Takaichi, in un post su X, ha affermato che i proprietari di siti web dovrebbero “verificare se il proprio sito attivo utilizza PHP e prepararsi ad applicare la nuova correzione”.
Bug individuato grazie all’IA
La falla in PHP è stata scoperta utilizzando l’intelligenza artificiale, come hanno riferito due aziende di sicurezza informatica in rapporti indipendenti. Calif ha dichiarato in un post sul blog, apre una nuova scheda, di aver individuato le vulnerabilità con l’aiuto di un modello linguistico di grandi dimensioni il 1° agosto e di aver lavorato a una correzione da allora. L’azienda di sicurezza informatica Wiz, di proprietà di Alphabet, ha affermato in un post sul blog di averla scoperta a sua volta con l’aiuto di Wiz Atlas, il proprio strumento autonomo di ricerca delle vulnerabilità basato sull’intelligenza artificiale, oltre che di Gemini 4 Argon di Google e GPT-5.6 Sol di OpenAI.
Le vulnerabilità sono rimaste nascoste nel codice PHP per oltre un decennio e sarebbe stato estremamente complicato per un hacker umano sfruttarle, secondo quanto riportato nel post di Wiz.
“Prima dell’intelligenza artificiale, questo lavoro manuale sarebbe stato difficile da implementare e ancora più difficile da scalare”, ha affermato. “Con l’intelligenza artificiale, questo non è più un ostacolo”. Calif e Wiz hanno dichiarato di essersi coordinati tra loro, con il team PHP e con OpenAI in merito alla scoperta.
In una dichiarazione, la Casa Bianca ha affermato di essere stata informata della falla venerdì.
“Questa scoperta dimostra esattamente perché la leadership americana nella SI sia così fondamentale”, ha affermato la Casa Bianca, riferendosi al termine preferito dal presidente Donald Trump per indicare l’intelligenza artificiale. “Si tratta di innovazione americana che rafforza la nostra sicurezza nazionale”.
Software critico
PHP è un linguaggio di programmazione utilizzato per gestire i siti web. Quando un visitatore carica una pagina, un server che esegue PHP assembla il contenuto e lo invia al browser. Si tratta di un software gratuito e open source gestito da volontari.
La sua ubiquità – secondo W3Techs, che monitora le tecnologie web, PHP gestisce circa il 75% dei siti web il cui linguaggio di programmazione è identificabile – ha destato preoccupazione tra gli esperti. Le campagne di hacking assistite dall’intelligenza artificiale, che si sono moltiplicate nelle ultime settimane, potrebbero causare gravi danni ai server privi di patch, ha affermato Lukasz Olejnik, ricercatore senior ospite presso il King’s College di Londra.
“La portata è enorme e, con l’IA, lo sfruttamento della vulnerabilità potrebbe avvenire istantaneamente”, ha dichiarato Olejnik.
Automattic, società che gestisce WordPress.com, ha affermato che gli utenti delle sue soluzioni in hosting e di Tumblr erano al sicuro dal bug, apre una nuova scheda. I rischi erano maggiori per i piccoli siti web basati su PHP gestiti da privati o organizzazioni con risorse tecniche limitate, spesso su servizi di hosting condiviso in cui i clienti non gestiscono direttamente i server sottostanti.
Interruzioni di servizio su larga scala
Nei Paesi Bassi, diverse organizzazioni hanno seguito l’esempio del Centro nazionale per la sicurezza informatica (NCSC) e hanno messo offline i siti web rivolti al pubblico, tra cui il Porto di Rotterdam, il portale governativo Overheid.nl, la federazione calcistica nazionale KNVB, i siti web dei cinque principali partiti politici del Paese e diversi siti web di ospedali.
L’azienda informatica municipale danese Kombit ha dichiarato di aver disattivato diversi servizi, tra cui la piattaforma nazionale di comunicazione scolastica.
Le interruzioni sono state ancora più diffuse in Finlandia, dove il fornitore statale di servizi informatici Valtori ha affermato che i servizi di rete pubblici del governo erano stati messi offline “come misura precauzionale”.
Il Ministero dell’Interno francese ha dichiarato di aver sottoposto tutti i propri siti web a manutenzione preventiva.
