Il 21 ottobre 2026 rischia di entrare nella storia di Internet come il giorno in cui le sue fondamenta hanno tremato. Il team di sviluppo di PHP ha rilasciato un aggiornamento d'emergenza per due vulnerabilità critiche che, sui sistemi non ancora corretti, consentono a un attaccante di assumere il controllo di un server senza bisogno di alcuna password. Le falle erano state individuate da ricercatori umani, ma è stata l'intelligenza artificiale a trasformarle in attacchi concreti e funzionanti, con una velocità che sta riscrivendo le regole della cybersicurezza, tanto per chi attacca quanto per chi difende.
PHP2Shell: un difetto che vive nel cuore del linguaggio
PHP è, di fatto, l'ossatura di Internet: lo utilizza circa il 70% dei siti web di cui si conosce il linguaggio di programmazione, da WordPress a Wikipedia. Le due vulnerabilità, battezzate PHP2Shell, hanno ottenuto un punteggio di 9,2 su 10 sulla scala CVSS. La PHP Foundation le ha classificate come falle di esecuzione di codice da remoto (RCE), in grado di far eseguire al server istruzioni esterne per sottrarre dati o installare malware. Il dettaglio più allarmante è che non serve autenticarsi: anche una banale pagina "Hello World" può essere vulnerabile se gira su una versione difettosa del linguaggio. Aggiornare WordPress o i plugin non basta: serve l'intervento di chi gestisce l'infrastruttura.
Le falle affondano in componenti attraversate da quasi ogni richiesta, come la gestione della memoria e degli errori. Quando un errore grave interrompe una richiesta nel momento sbagliato, PHP può lasciare frammenti di dati non più validi e trattarli come se lo fossero. La centralità di queste parti ha reso le correzioni complesse, perché intervenire senza rompere la compatibilità con la miriade di estensioni storiche del linguaggio era tutt'altro che banale.
Embargo rotto e governi offline
La patch era attesa per il pomeriggio del 21 ottobre, ma il panico è iniziato il giorno prima. Gli identificativi delle falle hanno iniziato a circolare sui forum il 20 ottobre e, la sera stessa, la società Calif ha pubblicato per errore un video dimostrativo dell'attacco, poi rimosso ma già virale. Secondo la PHP Foundation quel filmato ha accelerato la costruzione degli exploit. La mattina del 21, oltre sei ore prima del rilascio concordato, Chainguard ha distribuito ai clienti versioni già corrette, rompendo di fatto l'embargo. Meno di un'ora dopo, la società ELLIO registrava il primo tentativo di attacco.
Nei Paesi Bassi sono finiti offline il portale MijnOverheid, il sistema DigiD, il sito del parlamento e quello dell'agenzia per la cybersicurezza. Misure simili sono state adottate in Germania, Francia, Belgio e Repubblica Ceca, mentre la Wikimedia Foundation ha rimosso precauzionalmente alcuni sistemi. La NSA ha chiesto "con effetto immediato" a tutte le organizzazioni di prepararsi all'aggiornamento, e persino la prima ministra giapponese Sanae Takaichi ha usato i social per invitare gli amministratori di sistema a verificare l'esposizione. In Italia Censys ha rilevato circa 79.000 host che espongono PHP, inclusi apparati industriali e router difficilmente aggiornabili, mentre l'ACN ha pubblicato il primo bollettino solo alle 16:21, ventuno minuti dopo il rilascio della correzione.
