Recentemente, l’intelligenza artificiale ha rivelato due gravi vulnerabilità di sicurezza in PHP, un linguaggio di programmazione che alimenta silenziosamente la maggior parte di Internet. Questo ha spinto le organizzazioni di tutto il mondo a chiudere i propri siti web prima che gli hacker potessero sfruttare queste falle.
Questi bug sono rimasti inosservati nel codice di PHP per oltre un decennio. È stata necessaria l’analisi di modelli di intelligenza artificiale all’avanguardia, sviluppati da OpenAI e Google, per trasformare una vulnerabilità sospettata da tempo in un attacco reale, dando il via a una corsa per chiudere le porte.
Reazioni in Europa
I Paesi Bassi hanno reagito rapidamente chiudendo il sistema di identità digitale DigiD, il portale governativo Overheid.nl e il sito della Camera dei Rappresentanti, seguiti dal Porto di Rotterdam, dagli ospedali e dai cinque maggiori partiti politici del paese.
Anche il Centro Nazionale per la Sicurezza Informatica dei Paesi Bassi ha messo offline il proprio sito. In Finlandia, il fornitore di servizi IT statali Valtori ha disattivato i servizi web governativi come misura precauzionale. Il Ministero dell’Interno francese ha messo i siti delle amministrazioni locali in modalità manutenzione, mentre il servizio informatico federale tedesco ITZBund ha chiuso diversi portali.
Il CERT-EU, il servizio di cybersecurity per le istituzioni dell’UE, ha esortato le organizzazioni che non erano in grado di applicare immediatamente le patch a mettere offline i propri siti per non correre il rischio di essere hackati. Anche la Commissione Europea, ENISA, CERT-EU, Europol e la rete europea di squadre di risposta nazionali alla cyber sicurezza hanno emesso una dichiarazione congiunta chiedendo un intervento immediato, dando priorità ai sistemi esposti su Internet.
Cos’è PHP e perché è importante?
Creato negli anni ’90, PHP era originariamente un acronimo per “Personal Home Page” ed è il codice che gestisce circa il 70% dei siti web, secondo la società di sicurezza Wiz Research, che lo definisce “la spina dorsale del web”.
Mentre linguaggi come HTML gestiscono ciò che gli utenti vedono su una pagina, PHP si occupa di ciò che non si vede, come le registrazioni degli accessi, l’elaborazione dei pagamenti e la distribuzione dei contenuti. Sostiene piattaforme come WordPress, Drupal e Joomla, utilizzate per tutto, dai blog personali a negozi online e portali governativi.
Questa diffusione ha reso le due vulnerabilità un evento di portata globale. Wiz ha affermato che tutte le versioni di PHP rilasciate negli ultimi dieci anni sono affette da almeno uno dei difetti riscontrati, e che anche una semplice pagina “Hello World” su un server non aggiornato potrebbe risultare vulnerabile.
Una patch è stata pubblicata mercoledì, con la PHP Foundation che ha avvertito i dipartimenti tecnologici di tutto il mondo che è “imperativo aggiornare ora” se si utilizza PHP. Le versioni corrette includono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Qualsiasi versione precedente non riceve più aggiornamenti ufficiali e deve essere considerata esposta, avverte il CERT-EU.
Ne è conseguita una valanga di app e siti web che sono stati disattivati, dal sito della polizia di Parigi a un tracker di sonno di Pokémon, mentre gli sviluppatori correggono il loro codice. Tra i siti governativi in Europa, molti sono stati messi offline come misura precauzionale.
Come ha fatto l’AI a trovare le vulnerabilità?
Entrambe le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619 e classificate 9.2 su 10 per gravità, si trovano in parti di PHP che quasi ogni richiesta tocca, in particolare nella gestione della memoria e nella gestione degli errori.
Se una richiesta web colpisce il limite di memoria di PHP nel momento sbagliato, il software può essere ingannato a eseguire il codice di un attaccante senza necessità di login.
La PHP Foundation ha ammesso che i suoi stessi sviluppatori avevano notato segni del problema nel 2024, durante un audit esterno. Era stato abbozzato un exploit teorico, ma con un percorso d’attacco non concreto e un piccolo team centrale che valutava i compromessi di una correzione, il lavoro si è bloccato e ripreso per mesi. La fondazione ha definito il ritardo “un fallimento strutturale”.
Successivamente, l’intelligenza artificiale ha preso parte alla questione. Ad agosto, la società di sicurezza Calif, impegnata in un audit del codice sorgente di PHP finanziato da OpenAI e utilizzando il modello GPT-5.6 Sol di OpenAI, ha segnalato un attacco remoto pienamente funzionante con la stessa causa alla base. OpenAI ha marcado indipendentemente lo stesso problema lo stesso giorno. Due settimane dopo, Wiz ha seguito con altri vettori d’attacco, utilizzando il proprio strumento Wiz Atlas insieme a Google Gemini 4 Argon e GPT-5.6 Sol.
“Con modelli AI avanzati e gli strumenti giusti, un singolo ricercatore ha completato in una settimana ciò che in precedenza sarebbe stato necessario a un’équipe di classe mondiale mesi di lavoro,” hanno scritto i ricercatori di Wiz. OpenAI ha definito la scoperta “una delle vulnerabilità più impattanti degli ultimi tempi,” aggiungendo che “segna una nuova fase, in cui l’AI può trovare bug di sicurezza con impatto a livello di internet”.
Le scoperte sono state mantenute riservate mentre veniva sviluppata una soluzione. Tuttavia, martedì pomeriggio, le due identificazioni CVE sono trapelate su forum online e social media. PHP ha anticipato il rilascio di un giorno, mentre Calif ha erroneamente pubblicato—e poi rimosso—un video che mostrava il suo proof of concept funzionante contro diversi obiettivi, ha detto la PHP Foundation. Le copie si sono diffuse rapidamente.
“Il problema con strumenti come l’AI è che, nel momento in cui tutte le informazioni sono disponibili, le persone possono armarsi molto, molto rapidamente,” ha detto Steve Kerrison, docente senior di cybersecurity presso il campus di Singapore della James Cook University, ad AFP. “Ecco perché tutti stanno agendo con tale urgenza per risolvere questa questione.”
I siti sono già stati hackati?
Non necessariamente. “Mettere offline i siti web non significa necessariamente che siano stati hackati. Può essere una misura responsabile per proteggere i sistemi mentre si applicano gli aggiornamenti di sicurezza,” ha affermato Dimitrios Salampasis della Swinburne University of Technology in Australia.
La PHP Foundation ha dichiarato che il suo team di sicurezza ha ispezionato il codice proof-of-concept circolante dopo la fuga di notizie e non ha trovato alcun exploit attivo al momento del rilascio. “Le evidenze che i ricercatori di sicurezza stanno osservando mostrano che nessuno stava concretamente effettuando attacchi utilizzando le tecniche disponibili,” ha affermato Kerrison. Tuttavia, la situazione sta cambiando. La società di infrastrutture web Cloudflare ha affermato mercoledì di aver osservato traffico d’attacco rivolto ai suoi clienti, e il CERT-EU ha avvisato che la circolazione pubblica dei dettagli tecnici aumenta la probabilità che gli attaccanti stiano già esplorando le vulnerabilità.
Le istituzioni più grandi, dagli enti governativi ai media, dovrebbero essere in grado di applicare le patch relativamente rapidamente. Tuttavia, altre potrebbero rimanere esposte per molto più tempo. “Ci sono siti, sistemi e persone là fuori che non ne avranno idea per giorni, settimane e mesi,” ha avvertito Kerrison. Ciò potrebbe includere blog gestiti da utenti e siti di piccole imprese, che gli hacker potrebbero dirottare per diffondere virus informatici, inviare spam o ospitare contenuti malevoli.
Potrebbero esserci altre conseguenze?
Qualsiasi violazione dei dati potrebbe tornare a perseguitare i clienti a lungo termine, se le loro informazioni personali vengono raccolte per attacchi di phishing – una tecnica in cui qualcuno viene ingannato a fornire una password o i dettagli di pagamento.
La natura intrecciata e interconnessa dei sistemi online significa anche che il rischio non termina con l’aggiornamento del proprio server. Molti siti fanno affidamento su servizi di terzi che potrebbero anch’essi utilizzare PHP. Se questi fornitori tardano a correggere, “anche se hai effettuato il tuo aggiornamento … sei ancora vulnerabile,” ha detto Rahat Masood, docente senior di cybersecurity presso l’Università del New South Wales a Sydney.
PHP non è tutta la storia, ha aggiunto Kerrison. Una forte sicurezza informatica implica diversi strati di difesa, in modo che una serratura rotta non apra tutte le porte.
La PHP Foundation, per parte sua, sta utilizzando l’episodio per fare un appello deciso. Il linguaggio sostiene servizi governativi, banche e negozi online in tutto il mondo, ma la sua sicurezza continua a fare affidamento su un piccolo gruppo di sviluppatori e volontari finanziati dalla fondazione. Gli strumenti ora possono trovare bug più rapidamente che mai, ma decidere come correggerli senza compromettere il web richiede ingegneri esperti.
