Per oltre un decennio è rimasta nascosta nel codice di PHP, il linguaggio di programmazione che lavora silenziosamente dietro gran parte di internet. Poi l’intelligenza artificiale l’ha trovata, e in poche ore governi, ospedali, porti e partiti politici di mezza Europa hanno deciso di staccare la spina ai propri siti prima che i pirati informatici potessero approfittarne.

OpenAI ha definito la scoperta uno dei problemi di sicurezza più rilevanti degli ultimi anni. Ancora più netto il giudizio di Wiz, una delle società di sicurezza che hanno individuato le falle, secondo cui si tratta di vulnerabilità tra le più gravi mai scoperte in PHP e, probabilmente, nella storia del software.

Le vulnerabilità, ribattezzate PHP2Shell, sono identificate con i codici CVE-2026-109618 e CVE-2026-109619 ed entrambe hanno un livello di gravità di 9,2 su 10.

Sommario

Perché PHP è così importante

Per capire la portata del caso bisogna sapere cosa fa PHP. Quando un utente apre una pagina, il server che esegue PHP assembla i contenuti e invia la pagina completa al browser. È la base su cui girano piattaforme come WordPress, Drupal, Joomla e Magento.

Le stime sulla sua diffusione oscillano tra il 70 e il 75%: secondo il servizio di monitoraggio W3Techs, PHP alimenta circa tre quarti dei siti di cui è possibile identificare il linguaggio. Ed è proprio questa ubiquità il problema: una singola falla apre la stessa porta su milioni di server contemporaneamente.

Le conseguenze potenziali sono pesanti. Secondo Cloudflare, che ha collaborato con la PHP Foundation e i ricercatori, le falle potrebbero consentire di eseguire codice da remoto, bloccare servizi ed esporre i dati dei clienti, il tutto senza bisogno di autenticarsi.

Il ruolo dell’intelligenza artificiale

La vicenda segna un passaggio importante nella cybersicurezza. I ricercatori della società Calif, che lavoravano con OpenAI, hanno segnalato la prima falla a PHP l’11 agosto, dopo averla individuata con il modello GPT-5.6 Sol, nell’ambito di un audit del codice di PHP finanziato da OpenAI. Wiz, che fa capo a Google, l’ha trovata in modo indipendente qualche settimana dopo, con l’aiuto di modelli come Gemini 4 Argon e lo stesso GPT-5.6 Sol.

Secondo Wiz, le debolezze esistevano da decenni, ma dimostrare che fossero sfruttabili richiedeva una catena di passaggi al limite di ciò che un ricercatore umano poteva realisticamente fare. I modelli di IA più avanzati hanno abbattuto quella barriera, trasformando una debolezza nota in un attacco funzionante.

OpenAI rivendica il risultato come prova della bontà del suo programma “Patch the Planet”, sostenendo che l’IA abbia trovato la vulnerabilità prima dei criminali informatici, dando ai difensori il tempo di prepararsi. Ma la medaglia ha un rovescio evidente: gli stessi strumenti che aiutano i difensori possono, in mani diverse, accelerare il lavoro degli attaccanti.

La fuga di notizie e la corsa contro il tempo

Il piano prevedeva una divulgazione ordinata, con la correzione pronta prima dell’annuncio. Non è andata così. I dettagli sono trapelati online martedì, il giorno prima del rilascio previsto della patch, scatenando la corsa a mettere offline i siti. L’annuncio ha spinto i pirati informatici a cercare le falle e a tentare i primi attacchi, che Cloudflare ha dichiarato di aver rilevato e respinto già mercoledì.

Il quadro, però, non è uniforme: l’agenzia informatica australiana ha fatto sapere di non essere a conoscenza di sfruttamenti attivi, e il centro per la cybersicurezza belga non ha registrato attacchi contro siti del Paese.

La correzione è arrivata il 21 ottobre alle 14 UTC. La PHP Foundation ha avvertito che è “imperativo” aggiornare subito.

L’Europa spegne i siti

Come ricostruisce dettagliatamente Una Hajdari su Euronews, i Paesi Bassi sono stati l’epicentro della reazione. Il governo olandese ha disattivato il sistema di identità digitale DigiD, il portale Overheid.nl e il sito della Camera bassa; a seguire, il porto di Rotterdam, diversi ospedali e i cinque maggiori partiti politici. Perfino il Centro nazionale per la sicurezza cibernetica ha messo offline il proprio sito. L’app dell’aeroporto di Schiphol ha smesso di mostrare le informazioni sui voli in tempo reale, e giovedì mattina erano ancora irraggiungibili servizi delicati come il sito per le segnalazioni anonime di reati e la rete contro la violenza domestica Veilig Thuis.

Il primo ministro Rob Jetten ha dichiarato che il governo stava “seguendo da vicino” la situazione, mentre il ministro della Giustizia David van Weel ha ammesso che lo spegnimento precauzionale di così tanti siti “ha un impatto sulla nostra società digitale”.

Il fenomeno ha superato rapidamente i confini olandesi. In Finlandia il fornitore statale di servizi IT Valtori ha spento i servizi web governativi “come misura precauzionale”, il ministero dell’Interno francese ha sospeso i siti delle prefetture in attesa della correzione e in Germania il servizio informatico federale ITZBund ha chiuso diversi portali. Il ministero degli Esteri belga ha fatto altrettanto, mentre nel Regno Unito sono risultati irraggiungibili, tra gli altri, i siti dei consigli comunali di Edimburgo e Oxford e quello della Metropolitan Police.

Un dato aiuta a leggere questi elenchi: Valtori e il fornitore olandese NotuBiz hanno dichiarato di non avere indizi di intrusioni, quindi le liste dei siti offline misurano la prudenza degli enti, non il numero di violazioni.

La linea dura delle autorità

Le istituzioni europee hanno scelto la strada della massima cautela. CERT-EU, il servizio di cybersicurezza delle istituzioni dell’Ue, ha raccomandato alle organizzazioni che non possono applicare subito le correzioni di togliere i siti da internet piuttosto che rischiare un attacco. La Commissione europea, ENISA, CERT-EU, Europol e la rete dei team nazionali di risposta agli incidenti hanno inoltre firmato una dichiarazione congiunta che invita ad agire immediatamente, partendo dai sistemi esposti su internet.

La stessa linea è arrivata dall’altra sponda dell’Atlantico: Fbi e Nsa hanno consigliato di disconnettere i sistemi che non possono essere aggiornati in tempi rapidi, mentre agenzie di Regno Unito, Canada, Australia e Giappone hanno chiesto di individuare e correggere tutti i sistemi PHP.

Cosa significa per utenti comuni e per chi lavora sul web

Per chi naviga, la prima notizia è rassicurante: un sito offline potrebbe semplicemente essere in fase di protezione, e le informazioni disponibili non indicano che la sola visita a un sito colpito infetti il dispositivo dell’utente. Resta comunque prudente diffidare di contenuti inattesi, download non richiesti, reindirizzamenti strani e ripetute richieste di accesso, anche su siti conosciuti.

Molto più impegnativa la situazione per chi gestisce un sito. Poiché le falle riguardano PHP stesso, aggiornare contenuti o plugin non basta: bisogna aggiornare il software PHP sul server o contattare il proprio provider di hosting. Wordfence avverte che gli aggiornamenti automatici di WordPress non risolvono il problema di fondo.

Le correzioni sono disponibili per le versioni supportate, dalla 8.2 alla 8.5, mentre chi utilizza la 8.1 o versioni precedenti deve passare a una release più recente. Un punto critico, perché la maggior parte dei piccoli siti è gestita da proprietari senza personale dedicato alla sicurezza, spesso su hosting condivisi in cui non sanno nemmeno chi si occupi di aggiornare PHP.

Come ha sintetizzato un giornalista del Wall Street Journal, molti siti probabilmente non sanno ancora di avere un problema, e rischiano di scoprirlo nel modo peggiore.