PHP2Shell rappresenta un campanello d’allarme nell’ambito della divulgazione delle vulnerabilità. La settimana scorsa, conoscere PHP era un interesse principalmente per professionisti di nicchia; ora, anche i tassisti hanno un’opinione al riguardo. PHP in sé non è il fulcro della notizia, ma serve come esempio significativo. Utilizzato ampiamente, questo linguaggio di programmazione è molto vecchio e ne porta i segni, essendo nato a metà degli anni ’90. Seppur abbia subito molti interventi di modernizzazione e rifattorizzazione, mantiene elementi di design risalenti a oltre 20 anni fa.
PHP non è l’unico progetto dove le richieste urgenti di prestazioni migliori, affidabilità e nuove funzionalità sottraggono risorse necessarie per eliminare inefficienze interne che potrebbero sembrare funzionare bene. Ma, prima o poi, il debito tecnico si farà sentire, e giorni come questo potrebbero ripetersi.
La questione fondamentale legata a PHP2Shell non riguarda tanto le macchine, quanto le persone. Abbiamo visto come i modelli di linguaggio di grandi dimensioni (LLM) siano riusciti a identificare una combinazione di problemi e le modalità di sfruttamento che si sono verificate in pochi giorni ad agosto. Inoltre, la velocità con cui le informazioni pubbliche possano essere trasformate in strumenti di attacco ha destato preoccupazione. Il primo attacco è avvenuto giorni prima di un post anonimo su Hacker News che annunciava la presenza e la gravità dei problemi, dettagliando i numeri CVE corretti e provenendo da qualcuno già coinvolto nel contesto.
Le conseguenze devastanti di informazioni trapelate e la tensione tra il mantenere segreti preziosi e la possibilità di utilizzarli sono stati evidenti durante la Seconda guerra mondiale. Ciò portò alla creazione di un sistema di autorizzazioni e classificazioni in cui i risultati dei luoghi come Bletchley Park venivano filtrati e protetti per essere indirizzati a chi ne aveva bisogno. Anche se la situazione non era perfetta, le lezioni apprese in quel periodo sono valide ancora oggi.
La divulgazione delle vulnerabilità deve diventare una disciplina, non un semplice protocollo. Non ha senso informare l’intero team di sicurezza IT in anticipo: il numero minimo possibile di persone dovrebbe essere a conoscenza della vulnerabilità il più a lungo possibile. Queste devono essere addestrate e affidabili sia dai produttori delle patch che dalle loro organizzazioni. Se la tua azienda non è in grado di garantire una persona con i massimi standard, perderai la priorità nel ricevere informazioni riservate.
La figura del liaison per le patch deve diventare una posizione ricercabile, con un riconoscimento chiaro all’interno delle strutture professionali e dei requisiti di qualificazione. Questa figura deve far parte di una struttura industriale in grado di consentire un flusso bidirezionale di informazioni. La presenza e la qualità di chi ricopre questo ruolo definiranno la posizione nella sequenza di classificazione delle operazioni. È un modo per gestire il rischio in un ambiente IT complesso e in rapido cambiamento, dove ci sono molteplici attacchi possibili.
Perché ciò funzioni, è necessario che qualcuno gestisca queste dinamiche a livello industriale. Devono essere sviluppati strumenti e processi specifici con lo scopo di operare senza divulgazione. Questo deve andare di pari passo con un sistema formalizzato per l’identificazione, l’analisi e l’implementazione di misure rapide per i componenti infrastrutturali più pericolosi, sia per il numero di installazioni sia per la loro natura intrinseca.
Ci saranno molte discussioni su come, e se, PHP possa e debba essere sostituito da linguaggi più moderni come Rust, ma non ci sono forum in cui condurre questo dibattito con standard elevati e risorse appropriate per accelerare il processo decisionale. Sebbene alcuni possano considerarlo costoso, per altri potrebbe risultare sorprendentemente economico.
Mai prima d’ora avevamo dovuto considerare formalmente queste questioni come una disciplina da sviluppare a standard professionali, soprattutto in un contesto così ricco di attacchi complessi e potenti. È un fatto serio: si tratta di guerra.
