Falle critiche in PHP: a rischio milioni di siti web
Il linguaggio PHP, che fa funzionare circa il 70% dei siti internet, è stato colpito da due vulnerabilità critiche. La PHP Foundation ha rilasciato aggiornamenti di emergenza e l'agenzia di sicurezza americana NSA ha diffuso un avviso urgente.
- Due falle critiche riguardano tutte le versioni di PHP dal 2004 in poi.
- La NSA consiglia di aggiornare subito o di mettere il sito offline.
- Alcuni siti pubblici in Europa sono stati disattivati per precauzione.
Che cosa è successo
PHP è un linguaggio di programmazione che gira sui server, cioè sui computer che consegnano le pagine web agli utenti. È usato da sistemi di pubblicazione molto diffusi come WordPress e Drupal e da piattaforme di commercio elettronico come Magento di Adobe. Secondo TechCrunch alimenta circa il 70% dei siti internet, oltre 33 milioni secondo alcune stime.
Le due falle, identificate con i codici CVE-2026-109618 e CVE-2026-109619, riguardano, secondo la PHP Foundation, tutte le installazioni di PHP che servono richieste web a partire dalla versione 5, uscita nel luglio 2004. Permettono a un attaccante non autenticato di eseguire codice sul server o di leggere porzioni di memoria che possono contenere password, token di autenticazione e chiavi API. La fondazione avverte che non esistono mitigazioni complete: l'unica scelta sicura è aggiornare. Solo PHP 8.2 e versioni successive ricevono le correzioni; la versione attuale indicata è la 8.5.12.
La corsa agli aggiornamenti
La NSA ha avvertito che un sito che non può essere aggiornato subito dovrebbe essere tolto dalla rete finché non lo è. Secondo Wired, Cloudflare segnalava già i primi tentativi di attacco prima della pubblicazione dei dettagli, mentre la società di sicurezza Sansec si aspettava attacchi di massa entro quindici minuti dal rilascio delle patch.
Diverse amministrazioni hanno messo i propri siti offline per precauzione: Wired cita portali del governo finlandese, tra cui l'istituto catastale nazionale, siti del governo francese e quello del porto di Rotterdam, secondo quanto riportato da Reuters. Il consulente Lukasz Olejnik, citato da Wired, ha definito la situazione tutt'altro che un'esercitazione e teme nel caso peggiore un malware capace di diffondersi da solo su ampie porzioni della rete.
Perché conta
PHP è infrastruttura invisibile: chi ha un sito aziendale, un blog o un negozio online difficilmente sa quale versione gira sul proprio server. Per questo, come ha ricordato WordPress, non basta aggiornare il sistema di gestione dei contenuti: occorre aggiornare il server, spesso parlando con il servizio di hosting.
In Italia, dove moltissimi siti di piccole imprese, enti e professionisti sono costruiti su WordPress, la raccomandazione pratica è una sola: verificare con chi gestisce l'hosting che la versione di PHP sia aggiornata.
