Roma, 22 ott. (askanews) – Milioni di tentativi di attacco informatico, siti istituzionali e servizi di aziende temporaneamente sospesi in diversi Paesi, governi e autorità di cybersicurezza mobilitati per prevenire possibili compromissioni dei sistemi. Si estende a livello mondiale l’allarme per le due gravi vulnerabilità scoperte nel linguaggio di programmazione PHP, utilizzato da una larga parte dei siti internet. Le correzioni sono disponibili da ieri, ma la diffusione del software e la necessità di verificare l’efficacia degli aggiornamenti rendono complessa la messa in sicurezza delle infrastrutture digitali.
Secondo l’amministratore delegato di Cloudflare, Matthew Prince, i tentativi di sfruttare le falle sono aumentati vertiginosamente dopo la loro divulgazione pubblica. Nelle dieci ore precedenti l’annuncio, la società aveva registrato migliaia di tentativi, saliti a decine di migliaia nei primi 45 minuti successivi, a centinaia di migliaia entro due ore e infine a milioni. Amazon ha inoltre rivelato di aver individuato un tentativo di sfruttamento già il 17 ottobre, quattro giorni prima della divulgazione pubblica delle vulnerabilità, attraverso MadPot, la propria rete di sistemi utilizzati per rilevare attività informatiche ostili. Non è tuttavia accertato che i tentativi osservati abbiano provocato compromissioni effettive.
La Commissione europea, l’Agenzia europea per la cybersicurezza (Enisa), CERT-EU, Europol e la rete dei centri nazionali di risposta agli incidenti informatici hanno diffuso una dichiarazione congiunta chiedendo alle organizzazioni di intervenire immediatamente. Le autorità raccomandano di identificare tutte le applicazioni che utilizzano PHP, installare gli aggiornamenti e dare priorità ai sistemi accessibili da internet. Qualora non sia possibile applicare subito le correzioni, viene suggerito di isolare temporaneamente i servizi vulnerabili dalle reti pubbliche.
Le due vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619 e conosciute con il nome PHP2Shell, hanno ricevuto entrambe un punteggio di gravità di 9,2 su 10. Derivano da problemi nella gestione della memoria e possono consentire, in determinate condizioni, l’esecuzione di codice da remoto senza autenticazione, permettendo potenzialmente agli aggressori di prendere il controllo dei server, sottrarre informazioni riservate o alterare i contenuti dei siti. Il problema riguarda il motore stesso di PHP e può quindi interessare anche applicazioni e piattaforme che lo utilizzano indirettamente.
Le conseguenze dell’allarme si sono manifestate soprattutto attraverso sospensioni precauzionali. In Europa sono stati temporaneamente disattivati siti governativi nei Paesi bassi, in Germania, Francia, Finlandia, Belgio e Repubblica ceca. Tra i servizi interessati figurano portali di amministrazioni pubbliche, ospedali, istituzioni e organizzazioni private. La Wikimedia Foundation, che gestisce Wikipedia, ha sospeso alcuni sistemi in attesa delle correzioni, mentre il gruppo francese delle telecomunicazioni Orange ha interrotto preventivamente l’accesso ad alcuni siti e applicazioni delle proprie controllate.
In Finlandia, il fornitore statale di servizi informatici Valtori ha avviato il progressivo ripristino dei portali dopo aver installato gli aggiornamenti durante la notte. Il direttore generale Hannu Naumanen ha tuttavia avvertito che il ritorno alla normalità potrebbe richiedere giorni o addirittura settimane, poiché i sistemi devono essere sottoposti a verifiche approfondite prima della riattivazione. Valtori ha precisato che le interruzioni non sono state provocate da attacchi informatici e che non risultano compromissioni accertate dei propri servizi.
In Asia, il Giappone ha sospeso parzialmente siti di ministeri, amministrazioni locali e servizi pubblici, mentre numerose aziende, tra cui MUFG Bank, Nomura, ANA e diversi operatori ferroviari, hanno adottato analoghe misure precauzionali. Il capo di Gabinetto Minoru Kihara ha dichiarato che finora non risultano danni ai sistemi governativi riconducibili alle vulnerabilità. La Corea del Sud ha innalzato il livello di allerta informatica per il settore privato e attivato misure di risposta d’emergenza. Il ministero cinese dell’Industria e delle Tecnologie dell’informazione ha invitato organizzazioni e utenti a verificare immediatamente i propri sistemi e installare le versioni aggiornate del software.
Anche in Italia il CERT-AGID ha diffuso un avviso urgente, sottolineando che sono già disponibili online strumenti che dichiarano di poter sfruttare le falle, sebbene la loro efficacia non sia stata ancora pienamente verificata. L’organismo raccomanda di aggiornare tempestivamente PHP, prestando particolare attenzione ai sistemi esposti su internet, e avverte che l’aggiornamento dei soli programmi che utilizzano il linguaggio, come i sistemi di gestione dei contenuti dei siti web, non è sufficiente a eliminare le vulnerabilità.
La crisi ha sollevato interrogativi anche sui tempi di individuazione e correzione dei problemi di sicurezza. La PHP Foundation, che sostiene lo sviluppo del linguaggio, ha riconosciuto che i primi segnali della vulnerabilità CVE-2026-109618 erano emersi già nel 2024, durante un controllo esterno. All’epoca non erano state individuate modalità concrete per sfruttarla e le difficoltà tecniche, insieme ai limiti delle procedure decisionali, avevano impedito di arrivare rapidamente a una soluzione. La fondazione ha ammesso le proprie carenze organizzative e annunciato modifiche ai processi di gestione delle segnalazioni.
Un ruolo importante nell’individuazione delle falle è stato svolto dall’intelligenza artificiale. OpenAI ha spiegato che una delle vulnerabilità è stata scoperta dalla società di sicurezza Calif utilizzando il modello GPT-5.6 Sol, mentre Wiz ha individuato indipendentemente entrambe le falle. Google Cloud ha riferito che anche il modello Gemini 4 Argon ha contribuito alle attività di ricerca, sviluppo degli strumenti di verifica e validazione delle correzioni. Secondo gli esperti, gli stessi progressi tecnologici che permettono di individuare più rapidamente i problemi di sicurezza possono accelerare anche la preparazione degli attacchi.
Intervenendo oggi a un evento aziendale a Colonia, l’amministratore delegato di Microsoft, Satya Nadella, ha dichiarato di non aver visto una situazione simile da molto tempo, sottolineando l’importanza di costruire sistemi digitali che possano essere mantenuti e aggiornati in sicurezza.
PHP è utilizzato dal 69,3% dei siti internet per i quali è noto il linguaggio di programmazione lato server, secondo le rilevazioni di W3Techs. Gli sviluppatori hanno distribuito il 21 ottobre le versioni correttive 8.5.12, 8.4.27, 8.3.36 e 8.2.35, mentre le versioni più vecchie non più supportate richiedono interventi specifici o la migrazione verso software aggiornato. Per governi e imprese, la priorità resta ora l’applicazione delle correzioni e la verifica di eventuali intrusioni, in una situazione nella quale il numero dei tentativi di attacco documentati non consente ancora di stabilire quante compromissioni siano effettivamente avvenute.
