Un'ondata di preoccupazione sta attraversando il web europeo. Diversi siti istituzionali sono stati messi offline per precauzione dopo la scoperta di due gravi falle di sicurezza in PHP, il linguaggio di programmazione che alimenta gran parte del web. Le vulnerabilità, ribattezzate PHP2Shell e identificate come CVE-2026-109618 e CVE-2026-109619, potrebbero consentire a un attaccante di eseguire codice sui server senza autenticazione, arrivando anche alle informazioni conservate nei sistemi.
Falle vecchie di dieci anni
Secondo i ricercatori, il difetto era presente nel codice da oltre dieci anni. A individuarlo sono stati i team di cybersicurezza di Calif e Wiz, che hanno sfruttato l'intelligenza artificiale per analizzare il codice: Calif ha impiegato il modello GPT-5.6 Sol di OpenAI, mentre Wiz ha utilizzato diversi modelli avanzati per verificare la possibilità di sfruttamento. La diffusione di PHP spiega l'allarme: secondo W3Techs, è utilizzato nel 69,3% dei siti di cui è noto il linguaggio lato server, compresi WordPress, Drupal e MediaWiki, la piattaforma su cui si basa Wikipedia.
Servizi sospesi in mezza Europa
Le prime misure sono scattate in Finlandia, Paesi Bassi, Germania, Francia e Repubblica Ceca. Nei Paesi Bassi sono stati disattivati temporaneamente diversi portali governativi, mentre in Finlandia sono stati sospesi alcuni servizi pubblici. Anche la Wikimedia Foundation ha spento per precauzione parte dei propri sistemi. Questo non significa che i siti siano già stati attaccati: per quelli ancora offline bisognerà attendere il completamento degli interventi di messa in sicurezza.
Le patch sono già disponibili nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Tocca ora agli amministratori installarle, dando priorità ai server raggiungibili da Internet, come raccomandato dall'agenzia europea ENISA e dal National Cyber Security Centre britannico. Se l'aggiornamento non è immediato, i sistemi vulnerabili vanno isolati o disattivati. Attenzione soprattutto a chi usa versioni obsolete di PHP, non più supportate: in questi casi potrebbe servire un intervento sull'intera infrastruttura.
