Allarme sicurezza su scala internazionale per due vulnerabilità critiche in PHP, uno dei linguaggi di programmazione più diffusi al mondo. La scoperta ha spinto diversi governi a mettere temporaneamente offline i propri servizi online, in via del tutto precauzionale, dopo la pubblicazione delle patch di correzione e le prime segnalazioni di tentativi di sfruttamento da parte di soggetti malevoli.
L'Europa corre ai ripari
La vicenda coinvolge in particolare Paesi Bassi, Francia, Danimarca e Finlandia, ma le conseguenze non si fermano ai confini europei. Nei Paesi Bassi lo stop ha colpito il portale governativo Overheid.nl, il porto di Rotterdam, la federazione calcistica KNVB e i siti dei cinque maggiori partiti politici. In Danimarca l'azienda informatica Kombit ha chiuso diverse piattaforme comunali, mentre in Finlandia il fornitore Valtori ha disattivato i servizi di rete pubblica. La Francia ha posto i siti del Ministero dell'Interno in manutenzione preventiva, e anche il Canada ha annunciato la sospensione temporanea di alcuni servizi.
PHP è alla base di piattaforme diffusissime come WordPress, Drupal, Joomla e Magento: secondo W3Techs è utilizzato da circa il 75% dei siti web per cui è possibile identificare il linguaggio. Una falla critica ha quindi ripercussioni ben oltre i singoli siti. Censys stima che circa 1,5 milioni di host su 2,6 milioni utilizzassero una versione di PHP priva di correzione, restituendo la dimensione reale del problema.
L'IA scopre le falle, ma cambia anche i rischi
Uno degli aspetti più rilevanti riguarda il ruolo dell'intelligenza artificiale: due società di sicurezza hanno individuato le vulnerabilità in modo indipendente grazie a strumenti basati sull'IA. Calif ha identificato il problema il 1° agosto tramite un modello linguistico di grandi dimensioni, mentre Wiz ha utilizzato il proprio strumento Atlas insieme a Gemini 4 Argon di Google e GPT-5.6 Sol di OpenAI. Le falle erano presenti nel codice sorgente da oltre un decennio, ma sono emerse solo di recente.
La pubblicazione delle patch, però, facilita anche gli attacchi: gli aggressori possono studiare le vulnerabilità e cercare sistemi non ancora aggiornati. Amazon ha rilevato un tentativo di sfruttamento già il 17 ottobre, quattro giorni prima della divulgazione pubblica, e ha segnalato che le falle risultano ormai ampiamente sfruttate in rete. L'indicazione è chiara: chi gestisce server PHP deve applicare le patch rilasciate il 21 ottobre o, in alternativa, sospendere temporaneamente i servizi esposti.
