Tempesta di attacchi informatici in tutto il mondo: IA svela falla critica nei siti in PHP e gli hacker ne approfittano

Il mondo della cybersicurezza è in subbuglio dopo la scoperta di due falle critiche nel codice del PHP, un linguaggio di programmazione diffusissimo e alla base della stragrande maggioranza dei siti web. Si stima che circa il 70 percento sia coinvolto, anche grazie all'estrema diffusione del CMS WordPress, utilizzato sia per grandi portali istituzionali che nei progetti personali più piccoli. Tutto è iniziato martedì 20 ottobre, quando la notizia delle gravissime vulnerabilità informatiche ha iniziato a circolare sul forum Hacker News. Le due falle, chiamate singolarmente CVE-2026-109618 e CVE-2026-109619 e in coppia PHP2Shell, sono state individuate da due aziende in modo indipendente: la società di cybersicurezza californiana Calif, grazie al lavoro di Ryan Austin condotto nel contesto del progetto OpenAI "Patch the Planet"; e l'azienda di sicurezza cloud Wiz, che fa parte della società di Google Alphabet Inc. e di Google Cloud (proprio in questi giorni coinvolto in un massiccio down).

I due gruppi, per individuare la falla di portata “storica” e presente nel software da un decennio, hanno utilizzato due potenti modelli di intelligenza artificiale: GPT-5.6 Sol di OpenAI e Gemini 4 Argon di Google. Queste IA hanno la capacità e la velocità di identificare falle in breve tempo, mentre un essere umano potrebbe impiegare anni di lavoro. In realtà preoccupazioni sulla sicurezza del PHP c'erano da anni, tuttavia i ricercatori, non essendoci a disposizione exploit specifici in grado sfruttare le problematiche riscontrate, non hanno considerato il problema significativo. Ma qualcosa è cambiato radicalmente con l'individuazione di PHP2Shell, che Austin ha affermato essere la vulnerabilità più grave mai riscontrata, in grado di compromettere la sicurezza di milioni di siti web. In sostanza, con queste vulnerabilità i criminali possono assumere il controllo dei server web coinvolti, una strada spianata per rubare agevolmente i dati sensibili di persone e istituzioni. Non c'è da stupirsi che alcuni parlino di rischi per la sicurezza nazionale.

Da quanto è stata annunciata la scoperta delle falle, c'è stato un vero e proprio terremoto, con l'immediata chiusura di siti istituzionali e non per prevenire gli attacchi. Sono letteralmente milioni i tentativi di accesso illeciti, da quando questa storia ha iniziato a circolare. Tra i casi più significativi quello di Cloudflare: come affermato in un post su X dal CEO Matthew Prince, nei primi minuti sono stati decine di migliaia, sono passati a centinaia di migliaia in un paio d'ore e balzati a milioni fino ad oggi. L'intera internet, da un paio di giorni, è letteralmente bombardata di tentativi di estorcere informazioni sensibili. Sulla questione sono intervenuti direttamente capi di governo e agenzie nazionali di cybersicurezza – come la National Security Agency –, con l'invito a installare immediatamente le patch correttive (pubblicate il 21 ottobre dalla PHP Foundation su Github). Nel frattempo, per chi non sapesse come fare e aggiornare il proprio portale, è stato raccomandato di mandarlo offline. Fra pagine e siti disconnessi dalla rete figurano quelli del governo finlandese, scozzese e dei Paesi Bassi, ma anche importanti organizzazioni sanitarie, quotidiani online e moltissimi altri ancora.

La patch risolutiva è per le versioni del PHP 8.2, 8.3, 8.4 e 8.5, sebbene le vulnerabilità siano presenti sin dalla 5.4. In questo caso però sono considerate obsolete per il moderno web e quindi non sono state coinvolte dall'intervento. La problematica principale della vulnerabilità PHP2Shell risiede nel fatto che non tutti sono venuti a conoscenza del problema o sono in grado di risolverlo autonomamente. Non a caso gli esperti di cybersecurity si aspettano attacchi hacker massicci per diverso tempo.

“È una falla enorme”, ha affermato un esperto di sicurezza informatica a Fanpage.it. “Sono già uscite patch che risolvono il problema, ma migliaia di siti e servizi di piccole e medie dimensioni ne pagheranno le conseguenze per settimane. Per gran parte delle realtà istituzionali e commerciali importanti l"applicazione delle patch spetta a chi fornisce il servizio e ha in mano l'infrastruttura usata dall'azienda o dallo Stato, ma per migliaia di siti deve provvedere il proprietario stesso”, prosegue l'esperto, che ha dovuto applicare anch'egli la patch sul suo portale.

“E chi non è capace? Chi lascia la gestione tecnica agli automatismi del provider che garanzie ha? Quanto tempo passerà prima che gli applicheranno automaticamente le patch? Chi informa questa gente? Perché non tutti seguono notizie Tech o simili”, chiosa con preoccupazione l'informatico. In sostanza, anche se la vulnerabilità è stata bloccata rapidamente, c'è ancora una pletora di siti e annessi dati sensibili pronta a essere predata da malintenzionati, nel contesto di una delle più gravi crisi di sicurezza informatica degli ultimi anni.