Il recente problema di sicurezza legato a PHP2Shell ha costretto 32 servizi governativi del Regno Unito a interrompere le proprie operazioni, mentre altri quattro sono rimasti solo parzialmente disponibili. Questo è avvenuto mentre il governo britannico si affrettava a correggere le vulnerabilità critiche emerse. I numeri sono stati forniti dalla ministra della tecnologia, Baroness Lloyd di Effra, durante una sessione della Camera dei Lord.
Nel suo intervento, Lloyd ha dichiarato: “Attualmente, ho informazioni che indicano che 32 servizi governativi sono non disponibili e quattro sono parzialmente non disponibili. Questa situazione è principalmente il risultato di misure precauzionali adottate per proteggere i sistemi mentre vengono applicati aggiornamenti e mitigazioni di sicurezza.”
Nonostante il governo non abbia pubblicato un elenco completo dei servizi colpiti, è noto che tra quelli offline vi è l’Ufficio per la responsabilità di bilancio (OBR), che coincide con la tempistica della prossima presentazione del bilancio. Inoltre, si sono registrati disservizi che hanno interessato anche il DVLA e alcuni servizi di polizia.
Il Regno Unito non è l’unico paese a subire tali interruzioni. Siti governativi di nazioni come Germania, Francia, Belgio, Finlandia e Paesi Bassi hanno adottato misure simili, insieme al sito dell’agenzia di sicurezza informatica dell’Australia. Negli Stati Uniti, la NSA ha esortato le organizzazioni a correggere o disconnettere i sistemi vulnerabili, sebbene il governo americano non abbia confermato pubblicamente chiusure di siti web.
Le vulnerabilità PHP2Shell, identificate con i codici CVE-2026-109618 e CVE-2026-109619, consentono a attaccanti non autenticati di eseguire codice su server vulnerabili. Il National Cyber Security Centre (NCSC) ha avvertito le organizzazioni di applicare immediatamente le patch o di disconnettere i sistemi affetti fino alla loro risoluzione.
Lloyd ha aggiunto che il NCSC è stato informato da OpenAI la scorsa settimana riguardo a queste vulnerabilità e ha lavorato per garantire che la loro divulgazione avvenisse in modo coordinato con i fornitori, permettendo così una preparazione adeguata per proteggere i clienti. La società di sicurezza Calif ha scoperto uno dei bug di PHP utilizzando il modello GPT-5.6 Sol di OpenAI, mentre Google Wiz ha identificato entrambi i difetti con l’aiuto di strumenti AI. Successivamente, OpenAI ha approfondito le vulnerabilità e collaborato con fornitori e agenzie governative per diffondere le informazioni necessarie.
Per gestire l’emergenza, il governo ha istituito un’operazione di risposta agli incidenti interdipartimentale prima della divulgazione pubblica. Il NCSC ha anche inviato 50.000 avvisi a imprese e organizzazioni.
Le interruzioni non si limitano al governo centrale; ci sono segnalazioni di diversi comuni, tra cui Edimburgo, Oxford, Bristol, Lambeth e Barnet, i cui servizi sono stati presi offline. La Baronessa Ludford dei Liberal Democratici ha messo in discussione il motivo per cui il governo centrale e le autorità locali non rientrino nei doveri statutari previsti dal Cyber Security and Resilience Bill, la cui discussione tornerà in aula lunedì.
Infine, Lloyd ha rassicurato i presenti affermando: “Attualmente non siamo a conoscenza di alcuna compromissione confermata dei sistemi del governo centrale a seguito di queste vulnerabilità”, estendendo tale valutazione anche a tutto il settore pubblico del Regno Unito.
Si segnala che, secondo AWS, gli attaccanti hanno iniziato a sfruttare le vulnerabilità quattro giorni prima della loro divulgazione pubblica, mentre Cloudflare ha registrato milioni di tentativi di sfruttarle.
