Scattano aggiornamenti urgenti per uno dei linguaggi più utilizzati sul web. Le vulnerabilità permettono potenzialmente di eseguire codice sui server senza autenticazione. Coinvolti anche siti istituzionali europei.
Due vulnerabilità informatiche individuate con il contributo dell’intelligenza artificiale hanno fatto scattare un’allerta internazionale sulla sicurezza dei siti web. Le falle interessano PHP, linguaggio utilizzato da milioni di siti e applicazioni, e hanno spinto diverse organizzazioni pubbliche a sospendere temporaneamente alcuni servizi online mentre venivano predisposti gli aggiornamenti.
La scoperta apre una nuova fase della sicurezza informatica: l’intelligenza artificiale riesce a individuare vulnerabilità rimaste inosservate per anni, ma può rendere altrettanto rapida la loro trasformazione in strumenti di attacco.
Due vulnerabilità con gravità 9,2 su 10
Le falle, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto entrambe un punteggio di gravità di 9,2 su 10 e possono consentire, sui sistemi vulnerabili, l’esecuzione di codice da remoto senza credenziali di accesso, esponendo potenzialmente file, database e altre risorse del server.
Il 21 ottobre gli sviluppatori di PHP hanno distribuito quattro aggiornamenti di sicurezza, mentre le autorità europee e americane hanno invitato amministrazioni, imprese e gestori di servizi digitali a intervenire immediatamente. In Finlandia il sito del governo è risultato parzialmente indisponibile; altri servizi istituzionali europei sono stati temporaneamente sospesi per consentire verifiche e misure preventive.
Alle ricerche hanno contribuito strumenti AI sviluppati da OpenAI e Google. Una vulnerabilità è stata individuata dalla società Calif utilizzando GPT-5.6 Sol, mentre Wiz ha identificato indipendentemente entrambe le falle, anche con il supporto di modelli avanzati. Le correzioni sono state sviluppate e distribuite dai responsabili del progetto PHP, con il contributo di più aziende specializzate nella sicurezza informatica.
La PHP Foundation ha riconosciuto che i primi segnali di uno dei problemi erano emersi già nel 2024, senza che fosse allora possibile individuare una modalità concreta di attacco. Il ritardo nella risoluzione è stato definito dalla stessa organizzazione un fallimento strutturale.
WordPress e altri siti, aggiornamenti urgenti sui server
PHP costituisce una componente fondamentale di piattaforme come WordPress e di numerose applicazioni utilizzate da aziende, pubbliche amministrazioni e servizi commerciali. La sua diffusione amplia la portata dell’allerta, anche se non tutti i siti che utilizzano il linguaggio risultano necessariamente vulnerabili nelle stesse condizioni.
Le versioni corrette sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Per chi utilizza WordPress non è richiesto un aggiornamento specifico del CMS: la correzione deve essere applicata all’ambiente PHP del server, generalmente attraverso il proprio fornitore di hosting.
Le autorità di cybersicurezza raccomandano di dare precedenza ai servizi accessibili da Internet e, quando non sia possibile intervenire rapidamente, di valutare l’isolamento temporaneo dei sistemi esposti. Le misure di protezione alternative possono ridurre il rischio, ma non sostituiscono l’installazione delle correzioni.
La scoperta dimostra quanto l’intelligenza artificiale possa accelerare l’individuazione di vulnerabilità rimaste nascoste per anni, offrendo ai ricercatori strumenti capaci di rafforzare la sicurezza di infrastrutture utilizzate quotidianamente da milioni di persone. Le correzioni sono già disponibili, ma la loro pubblicazione non coincide con l’installazione sui server: ogni sistema vulnerabile che rimane senza aggiornamenti conserva una falla ormai conosciuta, e potenzialmente sfruttabile.
Cosa possono fare gli utenti per proteggersi
Le vulnerabilità individuate in PHP riguardano i server e non possono essere corrette direttamente da chi visita un sito. Gli esperti di sicurezza interpellati da Reuters raccomandano comunque di utilizzare password differenti per ogni servizio, attivare l’autenticazione a più fattori e mantenere aggiornati computer, smartphone e dispositivi connessi. Particolare attenzione va riservata ai messaggi che invitano a verificare urgentemente un account dopo un allarme informatico: potrebbero essere tentativi di phishing, da evitare accedendo ai servizi attraverso le applicazioni o gli indirizzi ufficiali. Queste precauzioni riducono i rischi individuali, ma non impediscono che i dati vengano esposti attraverso un server compromesso. La protezione dipende quindi anche dalla tempestività con cui aziende, amministrazioni e fornitori tecnologici installano le correzioni disponibili.
RotoNotizie | © riproduzione riservata
FOTO: © Getty Images / Canva
