Mercoledì, una tecnologia web open-source vecchia di decenni chiamata PHP ha quasi mandato in tilt internet, grazie a due vulnerabilità rimaste dormienti per anni finché i ricercatori non hanno recentemente trovato il modo di sfruttarle. I bug sono stati soprannominati PHP2Shell, ufficialmente designati come CVE-2026-109618 e CVE-2026-109619. In parole semplici, i bug permettono a chiunque sappia sfruttarli di intrufolarsi in un sistema online che esegue PHP, come un sito web o un server esposto a internet, senza bisogno di password per accedere o modificare i suoi dati. Come situazioni vanno, questa era piuttosto grossa, costringendo milioni di persone in tutto il mondo a correre ai ripari per patchare i propri sistemi prima che hacker malintenzionati potessero abusarne.

La PHP Foundation, che mantiene il software web PHP, ha rilasciato pubblicamente mercoledì le patch che correggono i bug, le quali, una volta installate, impediscono agli attacchi contro i server esposti al web. La fondazione aveva già dato a alcune delle più grandi aziende internet e web host che si affidano a PHP un vantaggio iniziale sulle patch. Grazie a settimane di chiacchiere di corridoio e a un'attenta coordinazione in tutto il settore, il mondo - finora - ha ampiamente evitato lo sfruttamento di massa di internet. Da mercoledì, i governi hanno iniziato a esortare cittadini e aziende con siti web ad agire per mitigare i rischi dalle loro parti. Un'ampia gamma di settori ha chiuso i propri siti web e messo offline i servizi per patchare i sistemi. Banche, rivenditori, siti di gioco, negozi online, ospedali e alcune agenzie governative hanno spento i server per prevenire attacchi. Ma i ricercatori di sicurezza avvertono che la situazione non è ancora finita, e che un gran numero di sistemi in tutto il mondo rimane non patchato e vulnerabile a hack e furti di dati. È anche improbabile che questo sia l'ultimo grande spavento per il software di internet, con alcuni che si aspettano l'avvento dell'IA per scoprire rapidamente vulnerabilità ancora non scoperte che aspettano di essere trovate e abusate.

I ricercatori di sicurezza di Calif hanno trovato due bug in PHP, un linguaggio di programmazione ampiamente usato in tutto il mondo per costruire siti web e app web, sia su internet che ospitati localmente su reti aziendali, come intranet e siti interni. PHP è open-source, il che significa che è gratuito e disponibile per essere usato da chiunque per quasi qualsiasi motivo. Come tale, è diventato uno dei linguaggi di programmazione web più popolari e ampiamente usati sul web oggi. I due bug sono stati scoperti per la prima volta nel 2024 ma non erano considerati sfruttabili all'epoca, e non sono stati patchati. I ricercatori di sicurezza hanno recentemente trovato un modo per sfruttarli, spingendoli ad avvisare i creatori del software per farli correggere. Calif ha avvisato la PHP Foundation, che ha iniziato un periodo di correzione dei bug e divulgazione coordinata. La fondazione lo ha fatto offrendo le informazioni e le patch sui problemi di sicurezza sotto un embargo strettamente sorvegliato - essenzialmente tenute riservate fino a una scadenza specifica - per dare alle grandi aziende l'opportunità di anticipare l'installazione delle correzioni.

PHP2Shell è piuttosto serio perché può essere abusato da remoto su internet e senza che la vittima debba cliccare su un link o aprire un file. Questo è noto come esecuzione di codice da remoto, ed è uno dei tipi più dannosi di bug da sfruttare perché possono concedere a un hacker ovunque nel mondo effettivamente il pieno controllo su un sistema colpito e non patchato. Peggio ancora, questi specifici bug PHP rendono possibile intrufolarsi in qualsiasi sistema non patchato su internet senza bisogno di una password o di qualsiasi altra credenziale su internet, noto come accesso non autenticato. Questo permetterebbe a un hacker malintenzionato di impiantare malware sul computer, come per rubare dati o semplicemente per mantenere un punto d'appoggio a lungo termine a cui tornare in seguito.

I bug sono particolarmente rischiosi perché PHP è un software estremamente popolare, in parte perché è gratuito e relativamente facile da usare, ma anche perché esiste da decenni. Circa il 70% di internet esposto al web si affida a PHP, anche se il suo utilizzo è lentamente diminuito nel corso degli anni in favore di tecnologie più recenti.