Qualcuno ha provato a hackerare Amazon sfruttando falle di PHP che dovevano essere segrete

Era prevedibile. Dopo la notizia della scoperta di due importanti falle nel linguaggio informatico PHP, utilizzato dalla grande maggioranza dei siti web, da tutto il mondo hanno cominciato ad arrivare segnalazioni di attacchi e tentativi di intrusione da parte di hacker, intenzionati a sfruttarle per penetrare nei sistemi e mettere le mani su dati preziosi. Parliamo di un linguaggio utilizzato anche da portali istituzionali e siti bancari di tutto il mondo. La questione, insomma, è seria. Il team di sviluppo di PHP (che sta per Hypertext Preprocessor) ha già rilasciato alcune patch correttive, ma la diffusione del software e la necessità di verificarne l'efficacia rendono complessa la messa in sicurezza in tempi brevi. Alcuni siti che utilizzano versioni obsolete potrebbero persino non riuscire a completare l'aggiornamento. Intanto anche i colossi del web sono dovuti correre ai ripari ben prima che la scoperta delle vulnerabilità facesse il giro del pianeta. Amazon ha fatto sapere che già lo scorso 17 ottobre qualcuno ha provato a violare i suoi sistemi approfittando proprio delle criticità di PHP, ribattezzate dai ricercatori PHP2Shell.

"Amazon Threat Intelligence ha identificato un tentativo di sfruttamento di PHP2Shell risalente al 17 ottobre 2026 […] quattro giorni prima della divulgazione pubblica di CVE-2026-109618 e CVE-2026-109619", ha affermato l'azienda nel suo comunicato ufficiale. Una tempistica che solleva un interrogativo inquietante: come facevano gli aggressori a conoscere le vulnerabilità: prima che la loro esistenza fosse resa pubblica?

L'attacco e la risposta di Amazon

Amazon ha dichiarato di aver sventato l'attacco grazie al proprio team di intelligence sulle minacce informatiche, il quale ha individuato nei dati raccolti da MadPot – la sua rete di sistemi-esca utilizzati per intercettare gli attacchi – un tentativo di sfruttamento delle criticità nel linguaggio PHP. L'attività proveniva da un indirizzo IP associato a un servizio commerciale di anonimizzazione, un elemento che suggerisce un'azione deliberata da parte di cyber criminali. Il tentativo di incursione è stato rilevato grazie ai sistemi-esca che il team di threat intelligence utilizza per attirare gli hacker e studiarne le mosse. La stessa Amazon ha però spiegato di non sapere se il tentativo avrebbe avuto successo contro un server reale.

Dopo la divulgazione pubblica delle vulnerabilità, avvenuta il 21 ottobre, la piattaforma ha inoltre rilevato altri tentativi di attacco provenienti da infrastrutture diverse, segno che più soggetti potrebbero essere già al lavoro per sfruttare le falle.

Perché ciò che è accaduto ad Amazon deve alzare il livello di guardia

Le due vulnerabilità, identificate con i codici CVE-2026-109618 e CVE-2026-109619, sono state individuate all'interno del linguaggio PHP da due gruppi di ricerca che hanno impiegati potenti modelli di intelligenza artificiale. Molti esperti le hanno definite tra le minacce più gravi mai rilevate, soprattutto per l'enorme diffusione del linguaggio. Se sfruttate, le falle potrebbero consentire agli aggressori di introdursi nei sistemi, modificare le pagine web a proprio piacimento, violare database e compromettere altri sistemi. Il 21 ottobre il team di sviluppo di PHP ha rilasciato le patch correttive per le versioni 8.2, 8.3, 8.4 e 8.5. Le vulnerabilità, tuttavia, erano presenti anche nelle versioni precedenti, alcune delle quali ormai obsolete e non interessate dagli aggiornamenti. Il rischio è che molti siti, soprattutto quelli gestiti da piccole realtà, rimangano esposti ancora a lungo.

Nel caso di Amazon, però, a preoccupare è soprattutto un altro aspetto: gli hacker sembravano conoscere una criticità che non era ancora stata resa pubblica. Le informazioni erano infatti ancora soggette a embargo, una procedura pensata per consentire agli sviluppatori di preparare le correzioni prima di rendere note le falle. Eppure qualcuno sembra essere riuscito a sfruttarle in anticipo. Amazon ha dichiarato di non sapere come gli aggressori siano entrati in possesso delle informazioni necessarie. L'azienda ha annunciato l'avvio di indagini, ma tutto fa pensare a una fuga di notizie riservate. Le vulnerabilità scovate con l'aiuto dell'IA erano rimaste nascoste per oltre dieci anni. Sembra dunque molto strano che qualcuno sia riuscito a scoprirle e a tentare di sfruttarle proprio pochi giorni prima del rilascio delle patch. Il fatto che nelle ultime ore si stiano moltiplicando i tentativi di aggressione informatica in tutto il globo rappresenta un ulteriore campanello d'allarme, soprattutto per questi sistemi che non potranno adeguarsi in tempi brevi.

Rivolgendosi a tutti gestori di siti e piattaforme, Amazon ha comunque raccomandato di aggiornare immediatamente PHP, avviare le verifiche sui sistemi almeno a partire dal 17 ottobre e controllare i log per individuare richieste sospette, in particolare quelle contenenti la stringa PHP_SESSION_UPLOAD_PROGRESS, oltre a eventuali processi anomali sui server. Un'altra indicazione riguarda i sistemi di difesa: non bisogna affidarsi soltanto alle firme associate alle singole vulnerabilità, che potrebbero arrivare troppo tardi. Anche perché, avverte Amazon, grazie all'intelligenza artificiale il tempo necessario per trasformare una falla in un'autostrada per gli hacker si sta riducendo drasticamente.