L’intelligenza artificiale scopre vulnerabilità critiche in PHP, la spina dorsale del web
L’intelligenza artificiale ha recentemente rivelato due gravi falle di sicurezza in PHP, il linguaggio di programmazione che alimenta silenziosamente la maggior parte dei siti web a livello globale. Queste vulnerabilità, passate inosservate per oltre un decennio, hanno innescato un’immediata mobilitazione da parte delle organizzazioni di tutto il mondo, che hanno iniziato a mettere offline i propri portali per evitare possibili attacchi informatici. Un evento che segna un punto di svolta nella storia della sicurezza digitale, favorito dalla capacità di modelli avanzati sviluppati da OpenAI e Google di trasformare una debolezza sospettata in un exploit effettivo.
L’emergenza ha acceso i riflettori su un rischio inedito: mentre l’intelligenza artificiale apre nuove frontiere in ambito tecnologico, al contempo accelera la scoperta di bug critici, rendendo necessaria una risposta rapida e coordinata per difendere l’infrastruttura digitale globale.
L’Europa corre ai ripari: chiusure preventive e strategie di difesa
La risposta europea alla scoperta delle falle in PHP è stata immediata e diffusa su più fronti. Nei Paesi Bassi, per esempio, sono stati temporaneamente disattivati servizi cruciali come il sistema di identità digitale DigiD, il portale governativo Overheid.nl e il sito della camera bassa del parlamento. Stessa sorte è capitata al porto di Rotterdam, a diversi ospedali e ai maggiori partiti politici del paese. Parallelamente, anche il Centro nazionale olandese per la sicurezza informatica ha oscurato il proprio sito come misura precauzionale.
Misure analoghe si sono registrate in altri paesi: in Finlandia, il fornitore informatico statale Valtori ha sospeso diversi servizi web governativi; in Francia, il Ministero dell’Interno ha messo in manutenzione i portali delle amministrazioni locali; mentre in Germania il servizio federale ITZBund ha disattivato alcune piattaforme digitali. Le istituzioni europee più importanti come CERT-EU, ENISA, Europol e la Commissione Europea hanno congiuntamente invitato a un’azione tempestiva, raccomandando a chi non fosse in grado di aggiornare immediatamente i sistemi vulnerabili di disconnetterli da Internet per prevenire ogni possibile intrusione.
PHP, il cuore pulsante del web: importanza e portata globale
Ma perché questa vulnerabilità in PHP ha generato tanto allarme? PHP, nato nei primi anni ’90 come acronimo di “Personal Home Page”, è ormai il motore invisibile che sottointende circa il 70% dei siti web nel mondo, da blog personali a colossi digitali, fino ai portali governativi. A differenza di linguaggi come HTML, che definiscono ciò che si vede sulla pagina, PHP gestisce operazioni fondamentali e invisibili agli occhi dell’utente: autentificazione, gestione dei dati, elaborazione di transazioni e molto altro ancora.
È il linguaggio alla base delle principali piattaforme di gestione contenuti come WordPress, Drupal e Joomla. Questa pervasività spiega l’urgenza con cui la comunità tecnologica ha agito: ogni versione di PHP rilasciata negli ultimi dieci anni presenta almeno una delle vulnerabilità individuate e persino le installazioni più basilari sono potenzialmente esposte. La PHP Foundation ha diffuso una patch correttiva, invitando comunità e aziende a un aggiornamento immediato. Le versioni sicure sono ora quelle recenti 8.5.12, 8.4.27, 8.3.36 e 8.2.35; tutte le release precedenti, non più supportate ufficialmente, sono considerate a rischio, a meno di interventi di backport da parte di singoli fornitori.
Le conseguenze immediate hanno spinto numerosi siti, dalle forze dell’ordine parigine a portali meno noti ma ugualmente critici, a temporanee chiusure. La sicurezza di infrastrutture digitali europee è stata dunque messa a durissima prova, con un’impennata di aggiornamenti e verifiche.
Come l’intelligenza artificiale ha scoperto le falle di PHP
Entrambe le vulnerabilità, catalogate con i codici CVE-2026-109618 e CVE-2026-109619, sono altamente critiche (valutate 9,2 su 10 in termini di gravità). Colpiscono funzionalità chiave di PHP, in particolare la gestione della memoria e il trattamento degli errori, che intervengono in praticamente ogni richiesta web. In pratica, se una richiesta arriva esattamente nel momento in cui la memoria raggiunge un limite critico, il sistema può eseguire codice malevolo senza alcuna autenticazione.
Questi problemi erano già stati individuati nel 2024 durante un audit effettuato su PHP, ma senza un exploit reale e con risorse limitate a disposizione, la loro soluzione era rimasta sospesa in un limbo. La PHP Foundation stessa ha parlato di un “fallimento strutturale” nel processo di risoluzione. Il salto di qualità è stato portato da modelli di intelligenza artificiale all’avanguardia, come GPT-5.6 Sol di OpenAI e Gemini 4 Argon di Google, che hanno permesso a piccoli team di sviluppatori di elaborare un attacco funzionante in pochi giorni, un risultato che prima avrebbe richiesto mesi di lavoro.
La scoperta è stata definita da OpenAI una tra le vulnerabilità più impattanti degli ultimi anni, che segna l’avvento di una nuova era in cui l’intelligenza artificiale accelera la scoperta e l’escalation di minacce digitali su scala globale. Mentre la soluzione tecnica veniva perfezionata a porte chiuse, i dettagli sono però trapelati online, obbligando PHP a rilasciare la patch anticipatamente e scatenando la corsa agli aggiornamenti in tutto il mondo.
Lo stato attuale degli attacchi informatici e i rischi ancora aperti
Fino a questo momento, non ci sono conferme che attacchi su larga scala siano già stati realizzati sfruttando queste vulnerabilità. Tenere offline i siti, sottolineano gli esperti, rappresenta una misura precauzionale fondamentale piuttosto che la prova di compromissioni attive. Tuttavia, il quadro è in rapida evoluzione: la società di infrastrutture web Cloudflare ha segnalato traffico anomalo verso i propri clienti, sintomo che gli hacker stanno sondando il terreno in vista di possibili attacchi.
CERT-EU mette in guardia sulla facilità con cui la diffusione pubblica dei dettagli tecnici aumenta il rischio di exploit, specie per molti siti meno controllati o gestiti da realtà più piccole, che potrebbero rimanere vulnerabili a lungo, diventando possibili cavalli di Troia per attività illecite come spam, diffusione di malware o furto di dati personali.
Oltre alla patch: una riflessione sulla sicurezza digitale globale
L’allarme PHP mette in luce non solo la centralità di questo linguaggio nelle infrastrutture digitali mondiali, ma anche la fragilità insita in un sistema di sicurezza che si fonda su risorse umane limitate e volontariato. La PHP Foundation ha infatti sottolineato la necessità di un maggior sostegno e investimenti per garantire una manutenzione adeguata e continua.
Inoltre, la complessità delle interdipendenze tecnologiche suggerisce che aggiornare un singolo server o sito non basta: molte realtà online si affidano a servizi di terze parti che potrebbero utilizzare versioni vulnerabili di PHP. In questo senso, una sicurezza efficace si costruisce su più livelli e strategie, capaci di mitigare le conseguenze di una singola falla di sistema.
Conclusioni
La scoperta delle vulnerabilità in PHP segnalata dall’intelligenza artificiale rappresenta un momento cruciale per la sicurezza digitale globale. Il linguaggio, pilastro fondamentale di buona parte del web, ha dimostrato quanto sia delicato l’equilibrio tra innovazione, manutenzione e rischio informatico. La reazione immediata delle istituzioni europee, accanto all’efficienza con cui le nuove tecnologie sono state messe al servizio della sicurezza, offre un modello di risposta efficace a questa nuova frontiera delle minacce informatiche.
Tuttavia, la sfida rimane complessa: accelerare gli aggiornamenti, sostenere i team di sviluppo, coordinare la difesa delle infrastrutture interconnesse ed educare gli utenti e le imprese a una cultura cyber-resiliente sarà la chiave per affrontare con successo la crescente sofisticazione delle cyber minacce nell’era dell’intelligenza artificiale.
