‘Bugmageddon’: l’IA scopre due falle in PHP, emergenza globale per il web

L'intelligenza artificiale ha individuato due vulnerabilità critiche in PHP, la tecnologia che alimenta gran parte del web, dando origine a un'allerta mondiale ribattezzata dal Wall Street Journal "Bugmageddon". Secondo le prime ricostruzioni, la falla — denominata PHP2Shell — potrebbe interessare fino al 70% dei siti web e colpire in particolare portali istituzionali e governativi.

La natura del problema riguarda le modalità di gestione della memoria da parte di PHP: i ricercatori hanno segnalato che la vulnerabilità può essere sfruttata per ottenere executive remote, eseguire software non autorizzato su server vulnerabili, sottrarre dati o avviare attacchi contro i visitatori di siti compromessi. Fonti giornalistiche riferiscono che in alcuni casi l'exploit potrebbe essere eseguito in pochi secondi.

L'allarme è stato rilanciato dall'agenzia per la cybersicurezza nazionale degli Stati Uniti, che ha invitato tutte le organizzazioni che utilizzano PHP a prepararsi a un aggiornamento d'emergenza per affrontare le due vulnerabilità critiche. L'NSA ha annunciato che fornirà indicazioni tecniche più dettagliate nelle prossime ore. Nel frattempo molti amministratori hanno deciso di mettere offline i propri sistemi per precauzione, mentre altri si affrettano a testare e applicare patch non appena rese disponibili.

Le reazioni internazionali sono state immediate: il ministero dell'Interno francese ha messo in manutenzione preventiva diversi siti, rendendo temporaneamente inaccessibili alcune prefetture; l'agenzia olandese per la sicurezza informatica ha scelto di andare offline; Wikipedia ha disattivato sistemi non specificati in attesa delle patch. WordPress ha precisato che il problema non è specifico della piattaforma e che al momento non è richiesto un aggiornamento di WordPress stesso. In Giappone la premier Sanae Takaichi ha lanciato un appello urgente ai gestori di siti, invitandoli ad applicare il patch previsto per la sera del 21 ottobre (23:00 ora giapponese).

Esperti del settore citati dal Wall Street Journal hanno definito PHP2Shell come la più grave vulnerabilità legata all'intelligenza artificiale finora scoperta: secondo Ami Luttwak, co-fondatore della società di sicurezza Wiz, si tratterebbe di una falla complessa che è stata individuata grazie all'uso dell'IA stessa, sottolineando il paradosso tra capacità difensive e offensive dell'automazione.

Cosa devono fare i gestori di siti

• Prepararsi ad applicare immediatamente gli aggiornamenti ufficiali di PHP non appena rilasciati e seguire le istruzioni delle autorità competenti.
• Se l'aggiornamento non è possibile subito, considerare la sospensione temporanea dei servizi pubblici esposti su internet o limitare l'accesso fino alla mitigazione completa.
• Verificare dipendenze e componenti terzi (moduli, plugin, hosting) che possono rendere il sito vulnerabile anche se la piattaforma principale è aggiornata.
• Monitorare i log di accesso, isolare server sospetti e informare il provider di hosting per procedure coordinate di contenimento.
• Seguire comunicazioni ufficiali di agenzie nazionali e vendor, evitare di applicare patch non verificate e non diffondere link o file sospetti.

La situazione resta in evoluzione e le autorità internazionali raccomandano prudenza: fino alla diffusione e alla verifica delle patch ufficiali è auspicabile che amministratori e responsabili IT diano priorità alla sicurezza e alla protezione dei dati degli utenti.