Una grave vulnerabilità nel linguaggio di programmazione PHP potrebbe mettere a rischio milioni di siti web e i dati conservati sui loro server. PHP è alla base di oltre il 70% dei siti web. Dopo la diffusione della notizia, il 21 ottobre gli sviluppatori hanno confermato il problema e pubblicato aggiornamenti d’emergenza. Nel frattempo, diversi governi europei e operatori, tra cui il porto di Rotterdam, hanno messo offline i propri siti. L’Australian Signals Directorate, l’agenzia statunitense per la difesa informatica e organismi analoghi nel Regno Unito, in Europa e in Giappone hanno invitato gli sviluppatori ad aggiornare con urgenza i sistemi e a valutare la disattivazione dei siti finché non sia possibile garantirne la sicurezza.
PHP è un linguaggio di programmazione, cioè un sistema di istruzioni per i computer, utilizzato dal 1997 e spesso descritto come una delle colonne portanti del web. Permette ai siti di ricevere e gestire le richieste degli utenti e di elaborare informazioni in background. È impiegato, per esempio, per consentire l’accesso agli account, gestire negozi online, interrogare database e pubblicare contenuti su blog e siti di notizie. Il codice viene eseguito sui server che ospitano i siti, non sui computer personali: per questo molte persone usano ogni giorno servizi basati su PHP senza accorgersene.
La vulnerabilità è stata individuata ad agosto da ricercatori di cybersicurezza dell’azienda Wiz. Per esaminare l’ampia base di codice di PHP, il gruppo ha usato i propri strumenti e le versioni più recenti dei modelli di intelligenza artificiale Gemini di Google e ChatGPT di OpenAI. L’obiettivo era trovare difetti che un aggressore potesse combinare per prendere il controllo di un sistema basato su PHP, inviando da internet una richiesta costruita appositamente.
Nel giro di pochi giorni, i ricercatori sono riusciti a penetrare nei sistemi basati su PHP di Drupal e WordPress, piattaforme utilizzate da una parte molto ampia del web. Wiz ha segnalato i problemi al team di sicurezza di PHP. Verso la fine di settembre, gli sviluppatori hanno confermato la vulnerabilità e hanno iniziato a preparare una correzione senza renderla pubblica.
In genere, quando viene scoperto un difetto di sicurezza, i dettagli vengono mantenuti riservati fino alla disponibilità di una patch, cioè un aggiornamento che corregge il problema. Una divulgazione anticipata potrebbe infatti offrire agli aggressori indicazioni su come sfruttarlo. Il piano sembra essere stato interrotto quando, il giorno prima dell’annuncio ufficiale, un utente del sito di settore Hacker News ha diffuso la notizia delle vulnerabilità. Il 21 ottobre gli sviluppatori di PHP hanno quindi confermato pubblicamente il problema e rilasciato le patch d’emergenza prima del previsto.
Installare gli aggiornamenti, però, non basta sempre a mettere subito al sicuro un sito. PHP è utilizzato da migliaia di plugin, framework e servizi di hosting gestito forniti da terzi. La correzione dovrà essere integrata e distribuita in ogni livello di questa catena di fornitura digitale prima che i sistemi interessati possano considerarsi protetti. Per questo l’aggiornamento dei milioni di sistemi che usano PHP richiederà tempo.
La vicenda mette in luce una fragilità più ampia: molte tecnologie fondamentali di internet sono state sviluppate e vengono mantenute da programmatori amatoriali, spesso grazie al volontariato e alle donazioni, anziché con finanziamenti aziendali stabili. Alcuni di questi strumenti risalgono a decenni fa e non erano stati progettati per un mondo in cui milioni di siti e miliardi di dispositivi li usano per gestire informazioni private e sensibili.
Anche la manutenzione, inoltre, non è sempre una priorità per le organizzazioni. Le aziende possono conoscere poco i componenti delle proprie catene di fornitura digitali e, in alcuni casi, non sapere nemmeno quali software utilizzano. Senza queste informazioni diventa difficile valutare i rischi e intervenire tempestivamente.
Per chi gestisce siti web o infrastrutture tecniche, la priorità è applicare gli aggiornamenti appena disponibili e valutare di scollegare da internet i sistemi critici finché non ne sia stata verificata la sicurezza. Per gli utenti comuni, invece, il rischio riguarda i server che ospitano i siti, non i dispositivi personali. Tuttavia, alcuni siti potrebbero essere compromessi prima di ricevere le patch: nei prossimi giorni è quindi prudente evitare di inserire dati personali sensibili su siti poco conosciuti. I principali fornitori di servizi cloud e le aziende di sicurezza stanno distribuendo filtri d’emergenza, ma il lavoro globale per mettere in sicurezza il web è appena iniziato.
I gruppi di cybersicurezza di tutto il mondo stanno lavorando per contenere i rischi. La portata del problema, però, richiama l’attenzione sulla necessità per governi e imprese di conoscere meglio le proprie dipendenze digitali. Come i produttori tracciano i fornitori dei componenti fisici, anche le organizzazioni dovrebbero tenere un inventario dei sistemi e dei framework da cui dipendono. È un primo passo per capire quanto le attività digitali si basino su codice mantenuto da volontari e sostenuto da finanziamenti insufficienti. Finché le aziende non considereranno il finanziamento degli strumenti open source essenziali un investimento per la sicurezza, e non un semplice atto di beneficenza, vulnerabilità di questo tipo continueranno a presentarsi.
Fonte: theconversation.com
