Due violazioni critiche scoperte nel linguaggio di programmazione PHP, utilizzate da circa il 75% dei siti Web il cui linguaggio può essere identificato, hanno innescato una crisi globale di sicurezza informatica. Paesi Bassi, Francia, Finlandia, Danimarca e Germania hanno preventivamente chiuso i portali governativi e Cloudflare avverte che gli attacchi sono già iniziati. In Romania le autorità sono in allerta, ma non sono state segnalate chiusure massicce.

(Staff: Europa / Tecnologia e sicurezza informatica)

---

Mercoledì 21 ottobre 2026, Internet ha avuto di nuovo una giornata buia. Solo pochi giorni dopo che un acquazzone di Google Cloud ha lasciato milioni di utenti Revolut senza accesso al denaro, una nuova crisi ha colpito l’infrastruttura digitale globale. Questa volta, il problema non è venuto da un provider di cloud, ma da uno dei linguaggi di programmazione più antichi e diffusi al mondo: PHP.

Martedì, gli sviluppatori PHP hanno annunciato l’identificazione di due vulnerabilità critiche e hanno esortato gli utenti ad aggiornare immediatamente i propri siti. Mercoledì, intorno alle 13:45 GMT, è stata rilasciata una versione fix. Ma a quel punto, le agenzie di sicurezza informatica di tutto il mondo erano già state in allerta. E in alcuni paesi la misura era radicale: i siti erano completamente offline.

Cos’è PHP e perché importa

PHP è un linguaggio di programmazione open source utilizzato per lo sviluppo di applicazioni server lato Web. Quando un visitatore accede a una pagina, il server esegue PHP, assembla il contenuto e lo invia al browser. è gratuito, gestito da volontari ed è alla base di circa Il 75% dei siti Web il cui linguaggio di programmazione può essere identificato, secondo W3Techs. È il motore dietro WordPress, una piattaforma utilizzata da circa il 43% di tutti i siti Web, dai blog personali ai portali governativi e ai negozi online.

Questa massiccia diffusione spiega perché una vulnerabilità in PHP non è un problema tecnico minore ma una minaccia sistemica. La società di sicurezza informatica Huntress ha riassunto la situazione in un post sul blog: “PHP è ovunque. Potrà discretamente i siti WordPress, Drupal, Joomla e Magento, piattaforme di hosting condiviso, pannelli di controllo e molti programmi che almeno non lo fanno Menziona che usano PHP dietro le quinte”.

La reazione a catena dei governi europei

Di fronte a una minaccia così ampia, i governi europei non hanno aspettato. Mercoledì, diversi stati hanno deciso di interrompere preventivamente i propri siti, preferendo i tempi di inattività al rischio di una violazione della sicurezza.

In Paesi Bassi, il National Cyber Security Center ha interrotto la propria attività online e diverse organizzazioni hanno seguito il suo esempio: Rotterdam Port, Overheid.nl Government Portal, KNVB National Football Federation, i siti dei cinque più grandi partiti politici e diversi ospedali sono stati portati offline.

In Francia, il Ministero dell’Interno ha annunciato di aver temporaneamente messo fuori servizio i siti amministrativi delle autorità locali, “in attesa di una soluzione di sicurezza”. Secondo la pubblicazione Le Figaro, il sito web dell’Amministrazione Fiscale, quello della Prefettura di Polizia e le Prefetture dei Dipartimenti.

In Finlandia, il fornitore di servizi IT dello stato, Valtori, ha annunciato che i servizi pubblici nella rete governativa sono stati messi fuori servizio “come misura precauzionale”. In Danimarca, la società IT municipale Kombit ha chiuso diversi servizi, tra cui la piattaforma nazionale di comunicazione scolastica. e in Germania e Austria, alcune università e le autorità locali hanno adottato misure simili.

Avvisi globali e attacchi già in corso

Le agenzie di sicurezza informatica nell’Unione europea, in Australia, in Giappone e nel Regno Unito hanno esortato gli utenti PHP a installare immediatamente gli aggiornamenti o a mettere fuori servizio i loro siti fino all’applicazione delle correzioni. Dane Knecht, direttore tecnico di Cloudflare, ha affermato che gli attacchi sono già iniziati: “Vediamo che gli attacchi stanno iniziando a verificarsi e stiamo aggiornando le misure di mitigazione del rischio man mano che appaiono nuovi vettori di attacco. Questa è solo una misura temporanea. Installa l’aggiornamento non appena PHP lo lancia”.

Gli esperti avvertono che l’estensione potrebbe essere enorme. Lukasz Olejnik, ricercatore del King’s College di Londra, ha affermato che la minaccia potrebbe essere amplificata da campagne di hacking assistite dall’intelligenza artificiale che si sono moltiplicate nelle ultime settimane. “La portata è enorme. E con l’aiuto dell’intelligenza artificiale, lo sfruttamento delle vulnerabilità potrebbe avvenire istantaneamente e su larga scala”, ha avvertito. Il rischio è particolarmente elevato per i piccoli siti gestiti da individui o organizzazioni con risorse tecniche limitate che non gestiscono direttamente i propri server.

La situazione in Romania

Secondo le informazioni disponibili, in Romania non sono state segnalate massicce chiusure di siti governativi, in modo simile a quanto accaduto nei Paesi Bassi o in Francia. Tuttavia, le autorità sono in allerta e gli amministratori di sistema sono stati invitati ad applicare urgentemente la patch rilasciata dagli sviluppatori PHP. Dato che la Romania ospita numerosi siti istituzionali basati su WordPress e altre piattaforme che gestiscono PHP, il rischio rimane significativo.

Conclusione

Una vulnerabilità in un linguaggio di programmazione gratuito, gestita da volontari, è riuscita a portare i siti governativi offline dalla metà occidentale dell’Europa e ad attivare una mobilitazione globale delle agenzie di sicurezza informatica. Non è stato un attacco coordinato, ma una violazione tecnica in un software utilizzato da tre quarti di Internet globale. E la reazione dei governi – per anticipare i siti – mostra quanto sia fragile l’infrastruttura digitale su cui facciamo affidamento ogni giorno.

La patch è stata rilasciata mercoledì pomeriggio. Ma per molti siti, l’aggiornamento non sarà istantaneo. E gli aggressori lo sanno. Resta da vedere se la violazione verrà sfruttata su larga scala e quante istituzioni pagheranno il prezzo di un ritardo di diverse ore.