Due vulnerabilità critiche in PHP, un linguaggio utilizzato da circa il 70% dei siti di cui è nota la tecnologia lato server, hanno spinto amministrazioni e altre organizzazioni europee a disattivare temporaneamente alcuni servizi per precauzione. Le falle potrebbero consentire l’esecuzione di codice da remoto senza autenticazione. I team di sicurezza raccomandano di installare subito gli aggiornamenti disponibili.

(Redazione: Mondo ed Europa / Tecnologia e cybersicurezza)

Il 21 ottobre 2026, due vulnerabilità critiche in PHP, tecnologia alla base di gran parte del Web, hanno provocato una risposta urgente nel settore della cybersicurezza. Le falle erano rimaste inosservate per anni; la ricerca assistita dall’IA ha contribuito a trasformare una debolezza teorica in una dimostrazione d’attacco funzionante.

PHP opera dietro le quinte di numerosi siti e applicazioni, compresi quelli basati su WordPress, Drupal e Joomla. Secondo W3Techs, nell’ottobre 2026 PHP era utilizzato da circa il 69,7% dei siti per i quali era possibile identificare il linguaggio lato server. La sua diffusione fa sì che una vulnerabilità possa coinvolgere molti servizi diversi.

Siti disattivati per precauzione

Amministrazioni e organizzazioni di diversi Paesi europei hanno temporaneamente disattivato alcuni servizi accessibili al pubblico mentre preparavano o installavano gli aggiornamenti di sicurezza. Nei Paesi Bassi la misura ha interessato, tra gli altri, portali pubblici e siti di istituzioni. Anche Francia, Germania e Finlandia hanno segnalato interruzioni preventive. La disattivazione di un sito non significa, di per sé, che sia stato violato.

Come ha contribuito l’IA alla scoperta

Le vulnerabilità sono identificate dai codici CVE-2026-109618 e CVE-2026-109619 e hanno un punteggio di gravità di 9,2 su 10. Riguardano la gestione della memoria e lo stato interno di PHP e potrebbero consentire a un aggressore non autenticato di eseguire codice su un server vulnerabile. Durante un audit del codice sorgente di PHP finanziato da OpenAI, l’azienda di cybersicurezza Calif ha utilizzato il modello GPT-5.6 Sol di OpenAI per sviluppare un attacco remoto funzionante basato su una delle falle. L’IA può aiutare i ricercatori ad analizzare codice complesso, ma capacità simili possono essere sfruttate anche dagli aggressori.

La corsa agli aggiornamenti

Il team PHP ha pubblicato gli aggiornamenti di sicurezza il 21 ottobre 2026. Tra le versioni corrette figurano PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. È opportuno consultare l’avviso ufficiale di PHP e il fornitore del sistema operativo o dell’hosting per individuare l’aggiornamento adatto. Le versioni più vecchie potrebbero non ricevere più correzioni dal progetto PHP, anche se alcuni fornitori distribuiscono patch retroportate.

Secondo dati di Censys citati dalla stampa, circa 1,5 milioni dei 2,6 milioni di host osservati utilizzavano versioni di PHP per le quali al momento della rilevazione non era disponibile una correzione. Cloudflare ha segnalato traffico d’attacco diretto ai propri clienti e le autorità hanno avvertito che la pubblicazione dei dettagli tecnici potrebbe aumentare i tentativi di ricognizione e sfruttamento.

Cosa devono fare le organizzazioni

Le organizzazioni dovrebbero individuare tutte le applicazioni e i servizi che utilizzano PHP, installare l’aggiornamento appropriato e verificare che la versione corretta sia effettivamente in esecuzione. Se un sistema esposto a Internet non può essere aggiornato rapidamente, le autorità di cybersicurezza raccomandano di valutare un isolamento temporaneo dalla rete pubblica. Chi utilizza hosting gestito dovrebbe chiedere al provider conferma dell’applicazione della patch.

Conclusione

L’incidente PHP ricorda che le infrastrutture Internet più diffuse richiedono manutenzione costante. L’analisi assistita dall’IA ha contribuito a portare alla luce vulnerabilità rimaste nascoste per anni. Ora che le correzioni sono disponibili, la priorità è verificare la versione di PHP, installare l’aggiornamento giusto e proteggere i servizi esposti a Internet.