Una vulnerabilità che ha scosso l’intero web
Questa settimana è stato nuovamente confermato che l’intero internet dipende da un unico filo: due gravi falle di sicurezza nel linguaggio PHP hanno scatenato una corsa contro il tempo per proteggere milioni di siti. Secondo i dati di W3Techs, PHP è presente in circa il 70 % dei siti web, il che rende la sua vulnerabilità un problema di portata globale.
Elizabeth Barron, direttrice esecutiva della PHP Foundation, ha dichiarato a Reuters che l’organizzazione conta una sola dipendente a tempo pieno – lei stessa – e 14 collaboratori esterni, per lo più part‑time. Il consiglio è volontario e i fondi provengono esclusivamente da donazioni e sovvenzioni, una realtà che appare in netto contrasto con l’enorme impatto di PHP sul web.
Perché la fondazione è così sottodimensionata?
- Struttura volontaria e priva di finanziamenti statali
- Modello di governance basato su contributi occasionali
- Assenza di una strategia di crescita del personale
Cronologia della crisi
Le radici del problema risalgono al 2024, quando la fondazione individuò una vulnerabilità durante una revisione di sicurezza. All’epoca non era nota alcuna via di sfruttamento e la correzione risultava complessa. Nel 2026, la falla fu scoperta da terze parti: la società di cybersecurity Calif la segnalò il 11 agosto, seguita da OpenAI e da Wiz, che avvisò la fondazione il 24 agosto dopo cinque giorni di indagini.
Il 20 ottobre i dettagli dei due bug furono resi pubblici, con la fondazione che anticipò di un giorno la pubblicazione, come riportato da Simon Willinson. Il giorno successivo fu rilasciata una patch correttiva.
Nonostante il rapido intervento, Cloudflare registrò milioni di tentativi di attacco subito dopo la diffusione della patch, secondo il suo CEO a Reuters. Tuttavia, la fondazione non ha ancora prove concrete di sfruttamento delle vulnerabilità prima della loro divulgazione pubblica, né su siti già aggiornati.
Amazon ha dichiarato che i suoi sistemi “esca” hanno rilevato un tentativo di attacco il 17 ottobre da un IP anonimizzato. L’autore dell’attacco rimane sconosciuto e l’IP sembrava puntare a un sito “segnolo”, non a una vera pagina web.
Impatto sui siti e sulle aziende
Poiché le falle risiedono nel core di PHP e non in un plugin, la semplice aggiornamento dei contenuti non è sufficiente. È necessario aggiornare la versione di PHP su ogni server, operazione che può compromettere la compatibilità con applicazioni e estensioni esistenti. Questo rende la risposta tecnica più complessa e costosa per le aziende e le istituzioni pubbliche.
Elizabeth Barron ha sottolineato che, nonostante la dipendenza di molte imprese e governi da PHP, il progetto è “incredibilmente sotto‑finanziato”.
Il ruolo ambivalente dell’intelligenza artificiale
Secondo la direttrice esecutiva, l’intelligenza artificiale è una “spada a doppio taglio”. Da un lato, gli strumenti di IA aiutano il piccolo team a individuare vulnerabilità sepolte da anni e aumentano l’efficienza nella scrittura di codice, un vantaggio cruciale in un contesto di risorse limitate.
Dall’altro, l’IA aumenta il carico di lavoro delle poche persone che mantengono il progetto, poiché la revisione di ogni possibile modifica ricade su un numero ristretto di esperti. Il progetto PHP sta ricevendo quasi il doppio delle proposte di cambiamento rispetto all’anno precedente, ma “il numero di collaboratori non è raddoppiato”, ammette Barron.
Prospettive future
- Rafforzare il finanziamento pubblico e privato per garantire una manutenzione sostenibile
- Espandere la base di collaboratori con incentivi per contributi a tempo pieno
- Integrare sistemi di IA per la revisione automatica, ma con supervisione umana
- Promuovere piani di aggiornamento coordinati per le aziende che dipendono da PHP
La vicenda di PHP è un campanello d’allarme per l’intero ecosistema del software legacy che sostiene internet. La dipendenza da tecnologie vecchie ma onnipresenti richiede investimenti strutturali, sia in termini di risorse umane sia di finanziamenti, per evitare che un singolo punto di debolezza possa compromettere la sicurezza di una parte così vasta del web.