PHP sotto attacco: 15 minuti per aggiornare prima che la rete bruci

PC Gamer ha riportato che la comunità di sviluppatori web si sta preparando a un'emergenza senza precedenti. Due vulnerabilità critiche in PHP—il linguaggio di programmazione che alimenta circa il 77% di tutti i siti web con un linguaggio server-side noto—sono state accidentalmente divulgate prima della loro correzione ufficiale. La conseguenza è una corsa contro il tempo: gli amministratori di sistema hanno poche ore per aggiornare i loro server prima che gli attacchi di massa inizino.

Secondo i ricercatori di Sansec, una società di sicurezza informatica, gli attacchi dovrebbero iniziare entro 15 minuti dal rilascio delle patch. Non è un'esagerazione: è il tempo stimato perché i criminali informatici automatizzino lo sfruttamento della falla e inizino a colpire indiscriminatamente ogni server vulnerabile connesso a internet.

Chi è coinvolto

La PHP Foundation—l'organizzazione ufficiale che mantiene il linguaggio—ha annunciato le due vulnerabilità critiche il 20 ottobre, assegnando loro i codici CVE-2026-109618 e CVE-2026-109619. Entrambe hanno un punteggio di gravità di 9.2 su 10 nella scala CVSS (Common Vulnerability Scoring System), il che significa che sono tra le più pericolose possibili.

Aziende come Cloudflare, Wiz (di proprietà di Google), WatchTowr e Sansec hanno confermato indipendentemente che le vulnerabilità sono reali e che stanno già vedendo i primi tentativi di sfruttamento. Lukasz Olejnik, consulente di sicurezza indipendente e ricercatore presso il King's College di Londra, ha descritto la situazione come "non è un'esercitazione".

Cosa è successo

I dettagli tecnici delle vulnerabilità sono stati accidentalmente divulgati prima della data ufficiale di rilascio delle correzioni. Un video circolante su internet mostra uno strumento di exploit chiamato PHP2Shell che dimostra come eseguire codice remoto su server web vulnerabili.

Il problema colpisce tutti i server PHP dalla versione 5 in poi (rilasciata nel 2004), il che significa che potenzialmente milioni di siti sono a rischio. Le piattaforme interessate includono WordPress, Drupal, Magento, Joomla, Laravel, Symfony e decine di altre applicazioni web popolari.

Le patch sono state rilasciate il 23 ottobre alle 14:00 UTC (10:00 ET). Tuttavia, solo le versioni PHP 8.2 e successive ricevono correzioni ufficiali dalla PHP Foundation. Le versioni più vecchie (5, 6, 7) dipendono dai fornitori di distribuzioni e dal supporto di terze parti—un problema serio perché molti server legacy rimangono non aggiornati per anni.

Dani Knecht, CTO di Cloudflare, ha dichiarato che l'azienda stava già aggiornando le sue regole firewall prima del rilascio ufficiale: "Stiamo vedendo i primi attacchi emergere e stiamo aggiornando le mitigazioni man mano che nuovi vettori di attacco emergono. Questo è solo un rimedio temporaneo. Aggiornate non appena @ThePHPF rilascia l'update alle 14:00 UTC oggi."

Secondo Davi Ottenheimer, consulente di sicurezza e conformità di lunga data, il problema è particolarmente grave perché le vulnerabilità si trovano in un'interfaccia di caricamento file: "È come una porta d'ingresso senza serratura. Un attaccante non ha bisogno di sapere quale sito sta colpendo o quale software esegue. Invia un caricamento artigianale a qualsiasi server che trova, e l'attacco è completo."

Perché è importante

PHP non è un software specializzato: è l'infrastruttura critica del web. Alimenta WordPress (usato da oltre il 43% di tutti i siti web), i sistemi di e-commerce, i portali governativi, i forum, i sistemi di gestione dei contenuti e migliaia di altre applicazioni. Una vulnerabilità in PHP è una vulnerabilità in una frazione significativa di internet.

L'impatto potenziale è enorme. Gli attaccanti potrebbero ottenere accesso remoto ai server, leggere password, token di autenticazione, chiavi API e certificati. Potrebbero installare malware, rubare dati sensibili, prendere il controllo di siti web o usarli come punto di partenza per attacchi a catena.

La velocità di sfruttamento è il fattore critico. A differenza di vulnerabilità passate, questa volta i dettagli tecnici sono già pubblici prima della disponibilità delle patch. Secondo Olejnik, "l'AI rende lo sfruttamento di tali vulnerabilità di importanza immediata. Letteralmente, in un minuto o giù di lì."

Alcune organizzazioni hanno già preso misure drastiche: i siti web del governo finlandese (inclusa l'Agenzia nazionale del catasto), i siti governativi francesi e il sito del Porto di Rotterdam sono stati portati offline come misura precauzionale.

Le agenzie di cybersecurity nazionali—tra cui il National Cyber Security Center del Regno Unito, l'EU-CERT e l'agenzia di cybersecurity australiana—hanno tutte emesso avvisi urgenti chiedendo alle organizzazioni di prepararsi all'aggiornamento immediato.

Cosa aspettarsi

Nei prossimi giorni, gli amministratori web dovranno affrontare una finestra temporale critica. Le azioni consigliate includono:

• Inventario immediato: identificare ogni installazione di PHP in uso, con particolare attenzione ai sistemi connessi a internet
• Finestra di manutenzione: pianificare un momento per aggiornare i sistemi, accettando che alcuni siti potrebbero essere temporaneamente offline
• Backup: fare copie di sicurezza complete dei file del sito e dei database prima di applicare le patch
• Monitoraggio: controllare i log di accesso e i sistemi per segni di sfruttamento attivo

La PHP Foundation ha dichiarato chiaramente: "Non ci sono mitigazioni complete, l'aggiornamento è l'unica scelta sicura."

L'indicatore principale da osservare sarà la velocità con cui gli attacchi si diffonderanno. Se la previsione di Sansec si rivela accurata—attacchi di massa entro 15 minuti—allora i prossimi giorni saranno caotici per il team di sicurezza di qualsiasi organizzazione che gestisce siti PHP. Le aziende che hanno già aggiornato i loro sistemi avranno un vantaggio critico rispetto a chi rimane vulnerabile.

Per gli utenti finali, il rischio è più indiretto ma comunque reale: i siti compromessi potrebbero distribuire malware, rubare credenziali di accesso o diventare veicoli per attacchi di phishing. La situazione sottolinea ancora una volta quanto sia fragile la sicurezza di internet quando una singola tecnologia fondamentale presenta un difetto critico.