Pubblicato il 22 ottobre 2026
Le autorità in Europa, Asia e altri continenti hanno temporaneamente messo offline alcuni siti web governativi per proteggersi dalle vulnerabilità di sicurezza appena scoperte in un linguaggio di programmazione utilizzato per alimentare la stragrande maggioranza dei siti su Internet.
Mercoledì, le vulnerabilità nel linguaggio di programmazione PHP hanno provocato un raro avvertimento pubblico da parte della National Security Agency (NSA) degli Stati Uniti, che ha consigliato di mettere offline i siti web se non potevano essere aggiornati immediatamente.
Storie consigliate
elenco di 3 elementifine dell’elenco
“Con effetto immediato, si consiglia a tutte le organizzazioni che utilizzano PHP per i propri sistemi di essere preparate per un aggiornamento che affronti due vulnerabilità critiche”, ha affermato la NSA in un post sui social media.
In Germania, il Ministero federale per la trasformazione digitale e la modernizzazione del governo ha dichiarato di aver messo offline alcuni siti Web come misura preventiva. Il Ministero degli Interni francese ha disattivato i siti ufficiali degli uffici amministrativi locali.
Anche le autorità di Belgio, Paesi Bassi, Finlandia e Repubblica Ceca hanno affermato di aver chiuso i siti Web per applicare una patch di sicurezza per chiudere la scappatoia PHP. Anche il primo ministro giapponese Sanae Takaichi ha pubblicato un post sui social media per mettere in guardia sul rischio PHP.
Gli esperti di sicurezza informatica hanno scoperto la coppia di vulnerabilità, denominata PHP2Shell, con l’aiuto di modelli di intelligenza artificiale (AI).
I ricercatori della società di sicurezza Calif, in collaborazione con OpenAI, hanno segnalato la prima vulnerabilità l’11 agosto. Wiz, una società di sicurezza di proprietà del colosso tecnologico Alphabet, ha segnalato la seconda vulnerabilità il 24 agosto.
Wiz ha affermato che i risultati “si collocano tra le vulnerabilità più gravi scoperte in PHP e probabilmente nella storia del software”.
I difetti sottostanti erano presenti da decenni, ha affermato l’azienda, ma dimostrare che erano sfruttabili richiedeva una catena di passaggi “al limite di ciò che i ricercatori umani potrebbero praticamente ottenere”.
Gli strumenti di intelligenza artificiale consentono ai ricercatori di individuare le vulnerabilità nel software testando più attacchi di quanto i programmatori umani possano fare da soli.
I volontari mantengono il linguaggio di programmazione PHP e la PHP Foundation senza fini di lucro ha dichiarato mercoledì che i difetti erano tra i più gravi mai incontrati.
Il gruppo ha esortato chiunque amministri un sito Web ad aggiornare immediatamente il proprio codice.
Entrambi i difetti si basano sull’accesso a parti della memoria senza la dovuta autorizzazione e sullo sfruttamento di tale accesso per eseguire codice dannoso. Le due scappatoie significano che un utente malintenzionato può eseguire comandi in remoto su un server che esegue vecchio codice PHP su Internet, senza bisogno di una password o di un accesso legittimo all’account.
La PHP Foundation ha inoltre avvertito che l’intelligenza artificiale renderebbe più facile individuare tali punti deboli nella sicurezza. Ha invitato le aziende tecnologiche a organizzare una risposta coordinata per evitare gravi interruzioni dei servizi online.
“Gli strumenti ora trovano i bug più velocemente che mai, sia per i difensori che per gli aggressori, e il numero di segnalazioni continuerà a crescere”, ha affermato la fondazione in una nota.
