Ieri molti siti sono stati offline per una grave falla scoperta dall’intelligenza artificiale

Nelle scorse ore molti siti in tutto il mondo hanno sospeso i loro servizi. Pagine istituzionali, portali universitari, applicativi aziendali: tutto è stato messo offline per mettersi al riparo da possibili attacchi hacker. Il motivo è la scoperta di due importanti vulnerabilità nel linguaggio di programmazione PHP, alla base di Content Management System (CMS) diffusissimi come WordPress e MediaWiki, il web software di Wikipedia. Si stima che circa il 70% dei siti che popolano Internet utilizzi proprio PHP, il che restituisce bene la portata del problema. Le criticità sono state individuate da ricercatori delle società di sicurezza informatica Calif e Wiz, che hanno utilizzato l'intelligenza artificiale per individuare eventuali falle nel sistema. Secondo i ricercatori, i due difetti erano rimasti nascosti nel codice per oltre un decennio.

Il team di sicurezza di PHP è subito intervenuto per riparare le criticità che, se sfruttate, avrebbero consentito a eventuali aggressori esterni di eseguire codice da remoto sui server e accedere a dati riservati. Intorno alle 16:00 (ora italiana) di ieri, mercoledì 21 ottobre, sono quindi state rilasciate alcune patch correttive. Molte piattaforme hanno interrotto la loro attività online per aggiornare i propri sistemi. Tra queste, la stessa Wikipedia, i portali delle Università di Vienna e Frigurgo, la piattaforma che gestisce il porto di Rotterdam (snodo fondamentale per il traffico marino europeo) e il sito del governo finlandese. Data l'enorme diffusione del linguaggio è però probabile che nei prossimi giorni anche in Italia possano registrarsi piccoli disservizi e pagine irraggiungibili prima che l'intero ecosistema riesca ad adeguarsi.

Le due criticità nascoste: di che cosa si tratta e come sono state riparate

Le due falle, identificate con i codici CVE-2026-109618 e CVE-2026-109619, sono state ribattezzate PHP2Shell e hanno ottenuto un punteggiodi 9,2 su 10 secondo la scala CVSS, il sistema che misura la gravità delle vulnerabilità informatico. Praticamente il massimo. In effetti, come ha spiegato lo stesso team di sviluppo di PHP, un ipotetico hacker avrebbe potuto sfruttare questi errori da remoto per introdursi nei sistemi, ovviamente senza bisogno di credenziali di accesso, e fare un po' di tutto: accedere ai database degli utenti, alterare i contenuti delle pagine e perfino trasformare il sito in una testa di ponte per infettare altri sistemi.

I difetti che permettevano tutto ciò si trovavano nel funzionamento interno di PHP e riguardavano la gestione della memoria. In determinate condizioni, il motore del linguaggio poteva infatti considerare validi dati che non erano stati elaborati correttamente oppure tentare di utilizzare informazioni conservate in una porzione di memoria già liberata. Questi errori nella gestione della memoria avrebbero potuto compromettere il funzionamento del software e, nei casi più gravi, consentire a un aggressore di eseguire comandi sul server da remoto.

Tutto ciò è stato scoperto grazie all'aiuto dell'IA. I ricercatori dell'azienda Calif hanno utilizzato GPT-5.6 Sol di OpenAI per analizzare il codice e verificare i comportamenti anomali. Wiz ha invece condotto verifiche parallele con strumenti proprietari e modelli IA, tra cui Gemini di Google. Su Fanpage.it abbiamo spesso raccontato come gli stessi colossi del settore temano che questa tecnologia possa diventare un'arma micidiale nelle mani degli hacker. In questo caso, però, l'intelligenza artificiale ha svolto il proprio compito nel migliore dei modi, scovando errori rimasti nascosti per anni.

Come si interviene per risolvere il problema

Il team di sviluppo ha rilasciato aggiornamenti di sicurezza per i diversi rami di PHP ancora interessati, con versioni corrette che vanno dalla 8.2.35 alla 8.5.12. In questo caso gli utenti non possono fare nulla, Sono i gestori dei siti a dover verificare quale versione utilizzano e installare l'aggiornamento appropriato. L'operazione non riguarda soltanto il codice dei singoli siti, ma il motore PHP installato sui server che li ospitano.

Nel frattempo, la stessa ENISA, l'Agenzia dell'Unione Europea per la cybersicurezza si è mossa in prima persona per invitare i gestori ad aggiornare rapidamente i server o, quando non sia possibile intervenire in tempi brevi, a sospendere temporaneamente i servizi esposti. "La Commissione europea (DG CNECT), l'ENISA, l'Agenzia dell'Unione europea per la cibersicurezza, il CERT-EU, Europol EC3 e la rete dei team nazionali di risposta agli incidenti di sicurezza informatica dell'UE (rete CSIRT) raccomandano alle organizzazioni di intervenire immediatamente per risolvere due vulnerabilità critiche in PHP, un linguaggio di programmazione ampiamente utilizzato per siti web e applicazioni", si legge nel comunicato ufficiale. Anche colossi della sicurezza come Cloudflare, la piattaforma che protegge e distribuisce il traffico web di milioni di siti in tutto il mondo, hanno attivato filtri di protezione aggiuntivi contro le richieste potenzialmente malevole.