La Fondazione PHP ammette che un «fallimento strutturale» ha ritardato una correzione di sicurezza critica
Ultime notiziePubblicato22 ott 2026
I siti web governativi e i servizi online sono stati interrotti dopo le preoccupazioni per un bug di PHP che avrebbe potuto consentire agli aggressori di assumere il controllo dei server vulnerabili.
La Fondazione PHP ha riconosciuto che l’indecisione e la scarsità di risorse hanno ritardato la correzione di una vulnerabilità critica di sicurezza individuata per la prima volta nel 2024, definendo la risposta arenatasi un «fallimento strutturale».
Mercoledì, agenzie governative e altre organizzazioni in tutto il mondo hanno messo offline i propri siti web come precauzione, mentre PHP rilasciava patch di emergenza per due vulnerabilità critiche correlate. Le falle avrebbero potuto consentire ad attaccanti non autenticati di eseguire codice sui server interessati senza effettuare l’accesso.
PHP è un linguaggio di programmazione ampiamente utilizzato per alimentare siti web e applicazioni web, compresi i sistemi di gestione dei contenuti.
In un post sul blog successivo al rilascio della patch, la fondazione ha descritto come i suoi sviluppatori avessero rilevato per la prima volta segnali della vulnerabilità nel 2024, ma avessero faticato a trovare una soluzione senza compromettere il vasto ecosistema di software costruito usando PHP.
«In combinazione con l’assenza di un percorso noto verso l’esecuzione di codice da remoto e con il fatto che il piccolo team di sviluppatori principali dotati della profonda conoscenza necessaria del motore fosse impegnato in numerose responsabilità, questo processo decisionale ha causato l’arresto e il ripetuto riavvio dei lavori sulla correzione per mesi», ha dichiarato la fondazione.
«Non faremo finta del contrario: il ritardo è stato un fallimento strutturale, causato sia dal processo decisionale del team di sicurezza sia dalla sua mancanza di risorse».
La fondazione è stata nuovamente informata della vulnerabilità l’11 agosto, dopo che la società di sicurezza Calif e OpenAI avevano segnalato indipendentemente lo stesso problema di fondo, con Calif che aveva dimostrato l’esecuzione di codice da remoto incondizionata, rendendolo una priorità di sicurezza assoluta.
I siti web vanno offline nel timore per la sicurezza di PHP
La perturbazione si è estesa in tutto il mondo, mentre gli sviluppatori disconnettevano i siti web in preparazione all’installazione delle correzioni di emergenza.
I Paesi Bassi hanno chiuso il proprio servizio di identità digitale e anche il Centro nazionale per la sicurezza informatica del Paese ha messo offline il proprio sito web.
Il fornitore IT statale finlandese Valtori ha disconnesso i servizi web pubblici del governo, mentre il ministero dell’Interno francese ha temporaneamente messo offline i siti web delle prefetture. Anche il fornitore IT federale tedesco ITZBund ha disabilitato diversi siti web, secondo Reuters.
In Australia, l’Australian Signals Directorate ha riconosciuto che il proprio sito web sulla cybersicurezza, cyber.gov.au, era tra i siti governativi interessati dal problema di PHP.
La prima ministra giapponese Sanae Takaichi si è rivolta a X per esortare gli operatori dei siti web a prepararsi ad applicare la patch il più rapidamente possibile. In un post, ha affermato che sospendere temporaneamente le funzioni del sito web avrebbe potuto ridurre il rischio se non fosse stato possibile applicare immediatamente la patch.
La Wikimedia Foundation, che gestisce Wikipedia, ha dichiarato di aver messo offline alcuni servizi di supporto come precauzione, tra cui Toolforge e Cloud VPS, che ospitano strumenti e progetti utilizzati dagli sviluppatori volontari, causando l’indisponibilità di parti di Wikipedia mercoledì.
La società di sicurezza blockchain SlowMist ha dichiarato che il suo servizio MistEye ha analizzato l’uso di PHP nel settore delle criptovalute, esortando exchange, piattaforme DeFi e fornitori di wallet a esaminare la propria esposizione e ad aggiornare i sistemi. Ha identificato 793 domini con fingerprint PHP dirette tra i 1.488 domini valutati.
Intersect, un’organizzazione associativa che sostiene lo sviluppo e la governance della blockchain Cardano, ha dichiarato di aver temporaneamente messo offline la propria Members Area mentre valutava una potenziale esposizione. La pagina è ancora offline al momento della stesura.
Jeff Lunglhofer, responsabile della sicurezza di Coinbase, ha dichiarato che la società non ha trovato prove della presenza di istanze PHP esposte.
«Ogni volta che veniamo a conoscenza di vulnerabilità di questo tipo, conduciamo automaticamente una verifica completa per assicurarci che tutto sia il più sicuro possibile. Collaboriamo inoltre con i nostri fornitori terzi per ottenere ulteriori garanzie».
Anche la società di infrastrutture per asset digitali BitGo ha dichiarato che la propria piattaforma non è stata interessata dalla vulnerabilità di PHP.
Nel frattempo, il cofondatore di Binance Changpeng Zhao ha avvertito mercoledì gli utenti di Internet di prestare «particolare attenzione» quando visitano qualsiasi sito web nei prossimi giorni, poiché alcuni amministratori web potrebbero non essere aggiornati con le patch di sicurezza.
OpenAI ha rilasciato una skill Codex per aiutare gli operatori dei siti web a verificare la presenza di versioni PHP potenzialmente vulnerabili e a individuare gli aggiornamenti applicabili, accessibile tramite GitHub.
Il team di sicurezza di PHP ha dichiarato di non aver identificato exploit funzionanti al momento della divulgazione pubblica.
Rivista: 5 alternative a Ledger per conservare i tuoi Bitcoin
Cointelegraph si impegna a favore di un giornalismo indipendente e trasparente. Questo articolo di notizie è realizzato in conformità con la Politica Editoriale di Cointelegraph e mira a fornire informazioni accurate e tempestive. I lettori sono invitati a verificare le informazioni in modo indipendente. Consulta la nostra Politica Editoriale https://cointelegraph.it/editorial-policy
Altro sull'argomento
