Giù siti governativi del Regno Unito, consigli Comunali e serie tv della Bbc
Almeno 32 servizi digitali dell’esecutivo britannico sono inaccessibili, altri 4 operativi solo in parte. Alla Camera dei Lord del parlamento inglese, è la Baroness Lloyd (sottosegretaria per il settore digitale) ha tracciare il perimetro della gigantesca falla, in grado di minacciare la sicurezza informatica in tutto il mondo. I disservizi online derivano soprattutto dalle “misure precauzionali adottate per proteggere i sistemi mentre vengono applicati gli aggiornamenti di sicurezza”, ha chiarito Lloyd. Mentre nessun grande servizio pubblico essenziale rivolto ai cittadini è stato colpito, ha rassicurato un portavoce del governo laburista guidato da Andy Burnham. Ma Downing Street ha esortato “tutte le organizzazioni, private e pubbliche, grandi e piccole” a seguire le indicazioni di protezione. Il Centro nazionale per la sicurezza informatica del Regno Unito (Ncsc) ha diffuso le istruzioni per aggiornare i sistemi “tappando” la falla. Ove non sia possibile, il consiglio è di staccare la spina, mettendo “offline il sistema finché non possa essere pienamente messo in sicurezza”. L’Office for Budget Responsibility (Obr), l’organismo indipendente di controllo dei conti pubblici, ha oscurato il proprio sito, per mettersi al sicuro. Ieri erano finiti offline anche i siti dei consigli comunali di Edimburgo e Oxford, ora tornati accessibili. Restano irraggiungibili le pagine di diversi programmi della Bbc, tra cui quelli delle serie “Doctor Who” e “The Traitors”, anche se non c’è conferma di un legame con le vulnerabilità del linguaggio Php.
Cloudflare: “Milioni di attacchi in corso”. Amazon conferma. Istituzioni offline in Germania e Olanda
Intanto, sulla piattaforma X Matthew Prince, amministratore delegato della società di infrastrutture Internet Cloudflare, ha lanciato l’allarme: “milioni” di tentativi di sfruttare le vulnerabilità di PHP sulla propria rete nelle 10 ore precedenti l’annuncio pubblico. “Da migliaia, il numero è balzato a decine di migliaia nei 45 minuti successivi all’annuncio, a centinaia di migliaia nel giro di due ore e ora a milioni”, ha dichiarato il Ceo del colosso americano,citato dall’emittente pubblica inglese Bbc. “Al momento”, ha chiarito Prince, “non sappiamo se qualche hacker sia riuscito a sfruttare con successo le falle” di sicurezza. Anche Amazon conferme l’esistenza di criminali informatici al lavoro per sfruttare le vulnerabilità, ma finora i suoi siti web funzionano normalmente.
In Germania, come precauzione, ieri erano offline diversi siti dei ministeri, su indicazione dell’Ufficio federale per la sicurezza informatica (BSI). Ma nessun indizio di violazione, secondo il ministro per il Digitale tedesco Karsten Wildberger. “Prendiamo molto sul serio questo incidente e gli attuali avvertimenti”, ha dichiarato il politico della Cdu al quotidiano Bild. L’allarme per la falla del linguaggio PHP, tocca l’intera Europa. In Olanda offline il sito del National Cyber Security Centre (il centro per la sicurezza informatica nazionale), a titolo precauzionale. I Paesi Bassi hanno disattivato diversi servizi e siti web istituzionali, secondo la testata giornalistica Euronews: giù il sistema di identità digitale DigiD, il portale governativo Overheid.nl, il sito della camera bassa del parlamento, i cinque principali partiti politici del Paese. Ma anche infrastrutture chiave come il porto di Rotterdam e diversi ospedali. Il fornitore informatico statale finlandese Valtori ha spento in blocco i servizi web del governo “come misura precauzionale”. In Francia, il Ministero dell’Interno ha messo in modalità manutenzione i siti delle amministrazioni locali, prosegue Euronews.
Una dichiarazione congiunta per esortare ad agire immediatamente sui sistemi online è giunta dalle autorità europee, con un documento firmato dalla Commissione Ue, ENISA, CERT-EU, Europol e la rete europea dei centri nazionali di risposta agli incidenti informatici. Molti siti e servizi delle istituzioni Ue sono basati su Drupal, fondato sul linguaggio PHP. The Drop Times, testata giornalistica specializzata sulle tecnologie Drupal, conta 770 siti attivi per 44 servizi della Commissione, con centinaia di milioni di visite l’anno.
“La falla informatica sul linguaggio PHPmette a rischio i dati di milioni di europei, incluse le buste paga, perché il 70 o l’80 per cento dei software per la gestione del personale nel Vecchio Continente si basa proprio su questa tecnologia di programmazione”, dice William Nonnis, analista tecnologico della presidenza del Consiglio dei ministri, interpellato da ilfattoquotidiano.it. Parliamo dei dati bancari, incluso l’Iban. Ieri l’Agenzia per la cybersicurezza nazionale ha comunicato ufficialmente la pubblicazione di aggiornamenti di sicurezza per sanare “due nuove vulnerabilità con gravità ‘critica’ in PHP. Qualora sfruttate”, dice la nota, “potrebbero permettere a un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati”. Il rischio è già in atto. L’Agenzia diretta da Andrea Quacivi ha diffuso la “toppa” da cucire sul “buco”, ora bisogna tappare la falla e non è detto che tutti siano all’altezza. Il compito non è banale e le competenze informatiche possono mancare nel tessuto produttivo italiano. Dunque saranno abbastanza rapide le aziende, i professionisti, gli utenti e le pubbliche amministrazioni? Intanto, più di 30 servizi governativi sono offline in Gran Bretagna per aggiornare i sistemi di sicurezza, mentre “milioni” di attacchi hacker sono in corso secondo il Ceo di Cloudflare.
L’imprenditore: “Stanotte ho subito diversi attacchi”
“Ho subito diversi attacchi informatici, stanotte contro la mia azienda”, racconta a ilfattoquotidiano.it un imprenditore e consulente informatico che preferisce restare anonimo. “Ho messo una patch al volo, ma in un attimo stavano già provando ad entrare”, prosegue tirando un sospiro di sollievo. Cosa cercavano i criminali? “Nomi utenti e password, credenziali per accadere ai sistemi protetti, ma anche buste paga, le motivazioni per le quali si buca un server sono tantissime”, conclude. In Italia le buste paga sono già state colpite. A novembre 2025, un attacco informatico contro Almaviva ha esposto, tra le altre cose, anche i dati bancari dei dipendenti di Ferrovie dello Stato. Parliamo di circa 70mila persone. Ora la minaccia è estesa su scala europea e globale. Perché la falla non riguarda un singolo software. E non si tratta di una violazione contro uno specifico database o sistema informatico. Il bug riguarda “il motore” che fa girare gran parte degli applicativi web in giro per il mondo. Secondo tre esperti consultati da ilfattoquotidiano.it, “le proporzioni di questo problema sono enormi”. “Il rischio va ben oltre programmi informatici obsoleti o applicazioni sviluppate senza adeguati criteri di sicurezza”, avvisa William Nonnis, “ma può interessare anche infrastrutture tecnologiche regolarmente aggiornate, fino all’applicazione delle correzioni necessarie”.
Giù i servizi del governo britannico. Cloudflare: “Milioni di hacker sulla nostra rete, non sappiamo se andati in porto”. Amazon conferma
Alla Camera dei Lord del parlamento inglese, la Baroness Lloyd (sottosegretaria per il settore digitale) ha descritto la dimensione del problema: inaccessibili almeno 32 servizi digitali dell’esecutivo britannico, altri quattro funzionano solo in parte, dopo la scoperta delle gravi falle di sicurezza nel linguaggio di programmazione Php. I disservizi derivano soprattutto dalle “misure precauzionali adottate per proteggere i sistemi mentre vengono applicati gli aggiornamenti di sicurezza”. Downing Street ha rassicurato: nessun grande servizio pubblico essenziale rivolto ai cittadini è stato colpito. Sulla piattaforma X Matthew Prince, amministratore delegato della società di infrastrutture Internet Cloudflare, ha lanciato l’allarme: “milioni” di tentativi di sfruttare le vulnerabilità di PHP sulla propria rete nelle 10 ore precedenti l’annuncio pubblico. “Da migliaia, il numero è balzato a decine di migliaia nei 45 minuti successivi all’annuncio, a centinaia di migliaia nel giro di due ore e ora a milioni”, ha dichiarato l’esperto citato dall’emittente pubblica inglese Bbc. Anche Amazon conferme tentativi di sfruttare le vulnerabilità, ma finora i suoi siti web funzionano normalmente. “Al momento, non sappiamo se qualche hacker sia riuscito a sfruttare con successo le falle emerse in questo linguaggio di programmazione ampiamente utilizzato”, ha aggiunto Prince .
L’agenzia europea: “Isolare le applicazioni in attesa della patch”
L’agenzia europea per la cybersicurezza (CERT-EU) suggerisce di staccare la spina, in un comunicato pubblicato ieri, nel caso non sia possibile applicare la patch. Il “consiglio” è di riparare subito le vulnerabilità, ma “qualora ciò non sia possibile, le organizzazioni dovrebbero valutare la possibilità di isolare le applicazioni esposte a Internet dalle reti pubbliche fino a quando la correzione non sarà applicata e verificata”. “Molti Paesi europei hanno sospeso siti e servizi web a causa di questa vulnerabilità clamorosa”, dice Michele Colajanni, docente di Ingegneria informatica all’università di Bologna e tra i massimi esperti italiani. Ieri l’Agenzia nazionale per la sicurezza informatica del Regno Unito ha diffuso un comunicato incoraggiando “le organizzazioni ad adottare misure immediate per mitigare” il rischio, fornendo le istruzioni. Ma “se non siete in grado di aggiornare o disabilitare immediatamente il sistema, prima di procedere con l’aggiornamento o la mitigazione, è necessario valutarlo per individuare eventuali segni di compromissione e verificare la presenza di backdoor installate da un malintenzionato. Se non vi sentite sicuri di poterlo fare autonomamente, potete richiedere assistenza a un fornitore di servizi di risposta agli incidenti informatici (CIR) certificato NCSC”.
Google Cloud: “Aggressori possono mandare in crash, rubare o modificare facilmente i dati”
Il problema non riguarda solo le aziende e i software per gestire il personale. I rischi coinvolgono anche gli utenti di Google Cloud, secondo il comunicato del colosso tecnologico statunitense: sebbene il servizio “di per sé non sia vulnerabile, gli utenti di PHP in esecuzione su Google Cloud potrebbero esserlo. Comprendiamo la gravità di queste vulnerabilità e stiamo condividendo delle linee guida per aiutare i nostri clienti ad adottare misure immediate per proteggere le proprie applicazioni”. La nota del colosso è firmata da Chris Betz (Chief Information Security Officer, Direttore della Sicurezza delle Informazioni) e Raluca Ada Popa (Responsabile della sicurezza Gemini, Google DeepMind). Il testo non è rassicurante: “il punteggio di gravità di base ufficiale del Common Vulnerability Scoring System (CVSS) per ciascuna delle vulnerabilità di PHP è stato determinato come Critico, con un livello di gravità pari a 9.2. In generale, questa classificazione significa che gli aggressori possono mandare in crash e dirottare il sistema interessato, e possono facilmente rubare, modificare ed eliminare i dati, sebbene alcune circostanze attenuanti possano rendere più difficile lo sfruttamento della vulnerabilità”.
C’è una data che dovrebbe togliere il sonno ai governi, ai banchieri centrali, ai vertici delle grandi aziende tecnologiche. E, a pensarci bene, anche a ciascuno di noi. Il 2030. Mancano poco più di tre anni. Un tempo brevissimo, se paragonato alla portata della trasformazione che ci attende. Perché entro quella data potremmo trovarci di fronte a un problema che oggi viene discusso soprattutto nei laboratori di ricerca e negli ambienti della cybersicurezza, ma che riguarda direttamente la tenuta dell’economia mondiale: la possibilità che le tecnologie sulle quali abbiamo costruito la fiducia digitale diventino improvvisamente vulnerabili.
Non sto parlando soltanto di Bitcoin. E neppure dell’ennesima bolla finanziaria pronta a scoppiare. Il problema è molto più profondo. Riguarda la possibilità di dimostrare che un pagamento è autentico, che una transazione è stata autorizzata dal legittimo proprietario, che una comunicazione riservata non è stata intercettata, che un ordine impartito attraverso una rete informatica proviene effettivamente da chi sostiene di averlo inviato. In altre parole, riguarda qualcosa che abbiamo imparato a considerare scontato: la fiducia nei sistemi digitali.
Per capire la gravità della questione bisogna partire da una constatazione. Negli ultimi vent’anni abbiamo trasferito una parte crescente della nostra esistenza dentro infrastrutture informatiche che funzionano grazie alla crittografia. Il denaro, le identità, le comunicazioni, i contratti, i segreti industriali. Tutto è protetto da sofisticati sistemi matematici che rendono estremamente difficile, per i computer tradizionali, violare determinate chiavi di sicurezza. Il punto è che questa protezione non è una legge di natura. Dipende dalla capacità di calcolo disponibile. E quella capacità sta cambiando.
L’intelligenza artificiale accelera la ricerca, individua vulnerabilità, automatizza gli attacchi. Il quantum computing promette di fare qualcosa di ancora più radicale: risolvere problemi matematici che oggi consideriamo praticamente impossibili. La combinazione delle due tecnologie potrebbe cambiare le regole della sicurezza digitale.
Prendiamo Bitcoin. La blockchain è stata presentata per anni come una delle innovazioni più sicure mai concepite. Un registro distribuito, non controllato da un’autorità centrale, nel quale le transazioni vengono validate attraverso meccanismi crittografici. Una costruzione ingegnosa, che ha resistito a numerosi attacchi e ha alimentato un intero universo finanziario. Eppure anche questa architettura ha un punto vulnerabile. Le firme digitali utilizzate per autorizzare le transazioni si basano su algoritmi che un computer quantistico sufficientemente potente potrebbe compromettere. In particolare, potrebbe risalire da determinate chiavi pubbliche alle corrispondenti chiavi private, consentendo a un aggressore di disporre di fondi che non gli appartengono.
Non significherebbe cancellare magicamente la blockchain. Significherebbe mettere in discussione la prova stessa della proprietà digitale. Che, per una moneta nata per eliminare la necessità di fidarsi di un intermediario, sarebbe un paradosso devastante. Il problema non è fantascientifico. Nel marzo 2026 Google Quantum AI ha pubblicato una ricerca che ridimensiona le risorse teoricamente necessarie per compromettere la crittografia a curve ellittiche utilizzata anche dalle criptovalute. Non significa che oggi qualcuno possa violare Bitcoin. Significa, però, che la distanza tecnologica da quel risultato potrebbe essere inferiore a quanto si pensava. E qui nasce una domanda inquietante. Che cosa accadrebbe se un giorno venisse annunciato che una macchina è riuscita a ricavare una chiave privata da una chiave pubblica?
Non servirebbe aspettare furti su larga scala. Basterebbe la notizia. I mercati comincerebbero a interrogarsi sulla sicurezza dei patrimoni custoditi nei portafogli digitali. Gli operatori dovrebbero distinguere gli indirizzi vulnerabili da quelli protetti. Le piattaforme sarebbero costrette ad accelerare aggiornamenti delicatissimi. La fiducia, che nel sistema finanziario è importante quanto il capitale, subirebbe un colpo difficilmente quantificabile.
Ma sarebbe un errore fermarsi alle criptovalute. Il vero rischio è che Bitcoin rappresenti soltanto il primo campanello d’allarme di una crisi molto più estesa. Pensiamo ai sistemi di pagamento. Ogni giorno miliardi di operazioni attraversano una rete mondiale fatta di banche, circuiti di carte, piattaforme digitali, infrastrutture interbancarie e sistemi di regolamento. Non tutti utilizzano gli stessi algoritmi e non tutti presentano le medesime vulnerabilità. Ma molti dipendono, direttamente o indirettamente, da protocolli crittografici che dovranno essere aggiornati per resistere ai futuri computer quantistici. Se la transizione non avvenisse in tempo, il problema potrebbe diventare sistemico. Non perché un computer quantistico sarebbe automaticamente capace di svuotare ogni conto corrente. Sarebbe una rappresentazione sbagliata. Ma perché la compromissione di componenti critiche dell’autenticazione e delle comunicazioni potrebbe mettere in difficoltà intere catene di pagamento, costringendo gli operatori a sospendere servizi, sostituire certificati, verificare transazioni e ripristinare la sicurezza.
Immaginiamo per un istante una grande infrastruttura finanziaria costretta a fermarsi per verificare l’affidabilità delle proprie chiavi crittografiche. I bonifici internazionali rallentano. Le imprese incontrano difficoltà nei regolamenti. Le banche devono gestire un’ondata di richieste e controlli. I mercati reagiscono all’incertezza. Le catene di fornitura, che già oggi dipendono da pagamenti tempestivi e flussi informativi continui, subiscono nuove interruzioni.
È uno scenario, non una previsione. Ma è uno scenario che chi governa la finanza non può permettersi di ignorare. E c’è un aspetto ancora più delicato. La sicurezza nazionale. Siamo abituati a pensare alla guerra attraverso carri armati, missili, droni e sistemi di difesa. Ma un esercito moderno è anche una gigantesca organizzazione digitale. Deve pagare personale e fornitori, trasferire risorse, acquistare componenti, gestire informazioni riservate, proteggere comunicazioni e autenticare ordini.
Le criptovalute sono già entrate nell’economia dei conflitti, attraverso donazioni, trasferimenti transfrontalieri, finanziamenti e circuiti alternativi utilizzati anche per aggirare restrizioni finanziarie. Questo non significa che gli eserciti paghino ordinariamente i propri soldati in Bitcoin: non ci sono elementi per considerarla una pratica generalizzata. Significa però che gli asset digitali sono ormai parte dell’infrastruttura finanziaria che circonda la guerra. E se la crittografia che protegge queste operazioni diventasse vulnerabile, le conseguenze potrebbero andare ben oltre la perdita di denaro.
Un sistema militare deve poter essere certo dell’identità di chi impartisce un comando, dell’integrità di un messaggio e della riservatezza di un’informazione. Un avversario capace di compromettere alcuni di questi meccanismi potrebbe ottenere vantaggi strategici enormi. La sicurezza delle comunicazioni e quella delle transazioni finanziarie appartengono, sotto questo profilo, alla stessa famiglia di problemi. Esiste poi un pericolo meno appariscente, ma forse ancora più insidioso. È la possibilità che informazioni cifrate vengano intercettate oggi e conservate in attesa di poterle decifrare domani. I tecnici lo chiamano harvest now, decrypt later. Significa che un segreto industriale, un documento diplomatico o una comunicazione militare sottratti nel 2026 potrebbero diventare leggibili negli anni successivi, quando saranno disponibili strumenti di calcolo adeguati. Il futuro, insomma, potrebbe compromettere retroattivamente la sicurezza del presente.
A questo punto la domanda diventa inevitabile. Come ci salviamo? La risposta è, almeno in parte, dentro la stessa rivoluzione tecnologica che genera la minaccia. Il quantum computing non è soltanto un potenziale strumento di attacco. Può contribuire allo sviluppo di nuove tecnologie di comunicazione e sicurezza. Ma soprattutto ci obbliga a compiere un passaggio che non possiamo più rimandare: abbandonare progressivamente gli algoritmi vulnerabili e adottare una crittografia post-quantistica. Non occorre aspettare l’arrivo di un computer quantistico sufficientemente potente per farlo. Anzi, sarebbe il peggior errore possibile. Nel 2024 il National Institute of Standards and Technology americano ha approvato i primi tre standard fondamentali di crittografia post-quantistica, progettati per resistere anche agli attacchi dei futuri computer quantistici. Il Regno Unito ha indicato il 2035 come orizzonte per completare la migrazione dei sistemi. Il lavoro, dunque, è già cominciato.
Ma aggiornare un algoritmo non è come sostituire un’applicazione sul telefono. Bisogna intervenire su reti bancarie, software, dispositivi, infrastrutture pubbliche, sistemi industriali e apparati che possono rimanere operativi per decenni. Occorrono investimenti, competenze, test e soprattutto coordinamento.
Ed è qui che la questione tecnologica diventa politica, nel senso più alto del termine. Nessun Paese può mettere in sicurezza da solo un’economia che funziona attraverso reti globali. Non possono farlo gli Stati Uniti, nonostante la loro supremazia in molti segmenti dell’innovazione digitale. Non può farlo la Cina, pur disponendo di enormi capacità di ricerca e investimento. Non può farlo l’Europa, che possiede competenze scientifiche e industriali importanti ma soffre di frammentazioni e dipendenze tecnologiche.
Se una banca europea aggiorna i propri sistemi, ma continua a dialogare con infrastrutture vulnerabili in altre parti del mondo, il problema non è risolto. Se una catena industriale protegge i propri dati ma i fornitori non fanno altrettanto, resta esposta. Se le infrastrutture civili e militari adottano standard incompatibili, la sicurezza rischia di trasformarsi in una nuova forma di isolamento.
Serve allora qualcosa che oggi può sembrare quasi utopistico: una grande alleanza internazionale per la sicurezza crittografica. Un accordo che coinvolga Stati Uniti, Cina, Unione europea e le altre principali potenze tecnologiche. Non per condividere segreti militari o rinunciare alla competizione strategica, ma per individuare standard interoperabili, procedure di certificazione, tempi di transizione e meccanismi di gestione delle vulnerabilità. Un terreno comune sul quale la rivalità geopolitica non impedisca la protezione delle infrastrutture civili essenziali.
È difficile? Certamente. I rapporti tra Washington e Pechino sono segnati dalla competizione tecnologica. L’Europa cerca faticosamente una propria autonomia digitale. Il controllo dei semiconduttori, delle tecnologie quantistiche e dell’intelligenza artificiale è diventato una questione di potere. Ma proprio per questo la cooperazione è necessaria. Ci sono infrastrutture che nessuno ha interesse a vedere collassare. Il sistema dei pagamenti internazionali è una di queste. La sicurezza delle comunicazioni essenziali è un’altra. Come per la sicurezza nucleare o per la gestione dei grandi rischi sanitari, la competizione fra Stati deve poter convivere con alcune regole comuni.
E l’Europa, anziché limitarsi a osservare la sfida tra le due superpotenze, dovrebbe assumere un ruolo da protagonista. Ha le competenze scientifiche, le imprese, i centri di ricerca e la forza regolatoria per contribuire alla definizione delle nuove regole. Ma deve investire molto di più e, soprattutto, deve muoversi con maggiore rapidità. Perché il problema del 2030 non è sapere se proprio in quell’anno una macchina riuscirà a violare una firma digitale di Bitcoin. Nessuno può affermarlo con certezza. Le stime divergono e le difficoltà ingegneristiche restano considerevoli.
Il problema è che potremmo arrivare al 2030 senza avere ancora completato il lavoro necessario a difenderci. E in una società nella quale quasi ogni attività economica dipende da una forma di autenticazione digitale, la vulnerabilità di quei sistemi non sarebbe una questione per informatici. Diventerebbe una questione di stabilità finanziaria, continuità industriale, sicurezza nazionale e sovranità. Abbiamo trascorso gli ultimi anni chiedendoci quanto l’intelligenza artificiale cambierà il lavoro, la produttività, la medicina e la nostra vita quotidiana. Domande legittime, naturalmente. Ma forse abbiamo dedicato troppo poco tempo a un interrogativo ancora più elementare: chi garantirà che le infrastrutture digitali sulle quali poggia questa nuova economia continueranno a essere affidabili?
C’è una sottile ironia in tutto questo. Abbiamo costruito un mondo nel quale il denaro si muove alla velocità della luce, i contratti possono essere eseguiti automaticamente e le macchine cominciano a prendere decisioni autonome. E ora scopriamo che le fondamenta matematiche di una parte di questo edificio potrebbero dover essere sostituite. Non è una ragione per fermare il progresso. È una ragione per governarlo. Il 2030 non deve diventare la data di un’apocalisse digitale. Deve diventare la scadenza entro la quale le grandi potenze avranno dimostrato di saper collaborare almeno sulla sicurezza del mondo che hanno costruito. Perché il rischio più grande non è che un giorno un computer diventi abbastanza potente da violare una chiave crittografica. È che gli uomini, pur conoscendo il pericolo, non riescano a mettersi d’accordo in tempo per cambiare la serratura.
Ci sono due “buchi” nel nel PHP, il linguaggio con il quale sono programmati i siti web. Due vulnerabilità che potrebbero essere sfruttate da eventuali hacker per entrare nei server, rubare dati sensibili o distruggere i portali e che riguarderebbe il 70% dei siti di tutto il mondo. Sono stati scovati grazie all’intelligenza artificiale avanzata, nell’ambito di un programma di ricerca chiamato Patch the Planet in cui le società di sicurezza informatica Calif e Wiz hanno collaborato con la PHP Foundation e OpenAI. Il colosso guidato da Sam Altman l’ha definito “uno dei problemi di sicurezza più significativi degli ultimi tempi”.
La falla, rimasta nascosta per più di 10 anni, permette attacchi di tipo Remote Code Execution (esecuzione di codice da remoto), il che significa che i pirati informatici possono prendere il controllo totale del server, installare malware e accedere direttamente ai database o ai file di sistema. Non è ancora chiaro quali versioni del linguaggio di programmazione siano interessate, ma il CERT-EU (il servizio di cybersicurezza che protegge le infrastrutture informatiche di istituzioni, organi e agenzie dell’Ue) ha affermato che potrebbero essere coinvolte tutte le versioni a partire da PHP 5, lanciato nel 2004. Il problema è che “il linguaggio PHP è ovunque – ha spiegato alla Bbc l’azienda di sicurezza informatica Huntress -. Alimenta i siti WordPress, Drupal, Joomla e Magento, piattaforme di hosting condiviso, pannelli di controllo e un’enorme quantità di software che non pubblicizza nemmeno il fatto di utilizzare PHP al suo interno”.
La PHP Foundation aveva intenzione di pubblicare la scoperta entro la fine del mese, insieme a una soluzione completa per il problema definita “patch” dagli sviluppatori di software, ma i dettagli della falla sono trapelati sui social media martedì e le istituzioni stanno correndo ai ripari. L’agenzia di sicurezza americana (NSA), il centro nazionale per la cybersicurezza britannico (NCSC) e le autorità di Ue, Giappone e Australia hanno lanciato allerte formali consigliando tassativamente di spegnere i sistemi se non si riesce ad aggiornarli immediatamente. Per precauzione istituzioni come il governo finlandese, il Parlamento olandese e il consiglio di Edimburgo hanno temporaneamente messo offline i propri servizi web perché non hanno fatto in tempo ad applicare la patch.
In Germania, l’Agenzia federale per la sicurezza della tecnologia dell’informazione ha classificato il rischio delle falle come “3 / Arancione“, ovvero estremamente elevato. L’allerta lanciata da Berlino ha fatto sì che alcune istituzioni, inclusi gli ospedali, abbiano temporaneamente disattivato i propri servizi online per non offrire alcun punto debole agli hacker. Anche in Francia, i siti internet di tutte le prefetture sono stati resi momentaneamente inaccessibili in seguito alla scoperta delle vulnerabilità e alla necessità di sottoporli a “manutenzione preventiva”.
Ma le prime ondate di attacchi che sfruttano la falla sono già state rilevate. “Stiamo osservando attacchi iniziali emergenti e stiamo aggiornando le mitigazioni man mano che appaiono nuovi vettori”, ha avvertito su XDane Knecht, responsabile tecnologico della società di infrastrutture internet Cloudflare.
Login
