Il miércoles, diversi siti web di governi europei sono rimasti senza connessione. Il governo giapponese ha consigliato di sospendere parte dei propri contenuti e molte aziende hanno optato per disconnettere le loro pagine di fronte alla possibilità di subire un attacco informatico. Nessuno voleva essere il primo a cadere.

La ragione che ha fatto trattenere il respiro agli amministratori di server di tutto il mondo è stata una falla nascosta per più di un decennio nel codice di PHP, il linguaggio che alimenta quasi il 70% di tutte le pagine di internet. Mentre alcuni premevano il pulsante del panico sui loro server, Cloudflare ha assunto un ruolo inaspettato: si è trasformata nello scudo che proteggeva i siti web di milioni di utenti e piccole imprese che non hanno un team di esperti in cibersecurity in organico.

La falla di PHP

La falla era presente da decenni. I due errori sono stati registrati come CVE-2026-109618 e CVE-2026-109619, anche se sono conosciuti in tutto il mondo come PHP2Shell. Come avverte l'INCIBE, questa vulnerabilità permette a un attaccante senza credenziali di eseguire codice dannoso direttamente sul server. È una minaccia considerata molto grave con un punteggio di 9,2 su 10, motivo per cui molti amministratori hanno preferito staccare la spina dei loro server piuttosto che esporsi a un attacco informatico.

La Fondazione PHP ammette che il problema è stato intuito nel 2024, dopo un'audit esterna, ma la riparazione si è bloccata per mesi e ha riconosciuto il "mea culpa" ammettendo che "il ritardo è stato un fallo strutturale". In agosto, Calif e OpenAI hanno dimostrato che era possibile eseguire codice senza credenziali, e tutto è cambiato di priorità, ma la patch non ha potuto essere implementata in tempo.

La tempistica della falla

Quattro giorni prima della patch. L'annuncio dell'esistenza della vulnerabilità e della sua patch è arrivato il miércoles 21 ottobre, il che ha scatenato il panico tra gli amministratori. Ma Amazon aveva già rilevato un tentativo di attacco a questa vulnerabilità il 17 ottobre contro uno dei suoi server-esca (server trappola per studiare gli attaccanti). È arrivato da una rete di anonimato commerciale. Amazon non sa come l'attaccante abbia ottenuto quelle informazioni.

Secondo quanto spiega la Fondazione PHP, poi è arrivata la fuga di informazioni sulla vulnerabilità. Il martedì 20 ottobre, i due identificatori già circolavano nei forum e nelle reti. Una delle aziende che ha segnalato il guasto ha pubblicato per errore un video con la sua prova di concetto. E un'altra azienda ha rilasciato immagini con la riparazione più di sei ore prima di quanto concordato.

Lo scudo di Cloudflare

Con la notizia dell'esistenza di una falla di sicurezza che avrebbe permesso di entrare come Pedro per casa in milioni di servizi web, non c'era altra scelta che prendere misure drastiche per alzare uno scudo di sicurezza. Cloudflare aveva sviluppato le sue regole con la Fondazione PHP, OpenAI e Wiz dall'inizio di ottobre, come dettaglia l'azienda. Di fronte alla prevedibile ondata di attacchi, Cloudflare ha attivato la protezione predefinita il 21 ottobre. Quasi undici ore prima che fosse annunciata la patch che risolveva il problema.

La barriera che Cloudflare ha alzato non si è limitata ai suoi clienti aziendali, ma ha protetto i clienti con firewall web e quelli che avevano il piano gratuito. Secondo i dati di W3Techs, questo scudo di Cloudflare potrebbe essere stata l'unica protezione per una pagina web su quattro di tutto internet.

Le regole di sicurezza normali non bastavano per fermare la vulnerabilità, quindi l'azienda ha creato la "detection of complete transaction", che analizza la richiesta dell'utente e la risposta del server. Se qualcosa non quadra, blocca la risposta prima che arrivi a chi l'ha richiesta. In altre parole, la sua rete si è messa tra il visitatore e il server, che è come funziona Cloudflare e permette di filtrare il traffico.

Ataques a ritmo de máquina

La previdenza di Cloudflare nel dispiegare lo scudo che ha protetto milioni di pagine era più che giustificata. Secondo quanto riportava Reuters, nelle dieci ore precedenti all'annuncio, Cloudflare ha rilevato migliaia di tentativi di utilizzo di questa vulnerabilità. Il suo CEO, Matthew Prince, assicurava che "è salito a decine di migliaia nei 45 minuti successivi all'annuncio. Dopo, a centinaia di migliaia in due ore, e ora a milioni".

CJ Moses, capo della sicurezza di Amazon, considera che l'IA spiega buona parte di quell'aumento nel numero di tentativi di attacco rilevati e che il tempo tra patch ed exploit funzionale "si sta riducendo per ragioni strutturali". L'analisi assistita dall'IA lo rende più economico, ha aggiunto.