PHP2Shell, la falla che ha messo in allarme Internet: milioni di attacchi e la nuova corsa tra hacker e intelligenza artificiale
Due vulnerabilità critiche nel linguaggio PHP hanno costretto governi, banche e aziende a sospendere servizi digitali per mettere in sicurezza i propri sistemi. Le falle, individuate anche grazie all’intelligenza artificiale, espongono una parte rilevante dell’infrastruttura web mondiale. La rapidità con cui gli aggressori hanno reagito alla pubblicazione delle correzioni apre una nuova fase della cybersecurity.
Dieci ore prima che le vulnerabilità venissero rese pubbliche, i sistemi di Cloudflare avevano già intercettato migliaia di tentativi di sfruttarle. Quarantacinque minuti dopo la diffusione delle prime informazioni, gli attacchi erano diventati decine di migliaia. Nel giro di due ore avevano raggiunto le centinaia di migliaia. Poi sono arrivati i milioni.
La sequenza, ricostruita dall’amministratore delegato di Cloudflare Matthew Prince, descrive la velocità con cui una debolezza del software può trasformarsi in un’emergenza internazionale. Al centro della vicenda c’è PHP, il linguaggio di programmazione utilizzato da una quota maggioritaria dei siti web mondiali e presente nei sistemi informatici di amministrazioni pubbliche, banche, ospedali, imprese e piattaforme editoriali.
Il 21 ottobre 2026 gli sviluppatori di PHP hanno pubblicato aggiornamenti straordinari per correggere due vulnerabilità critiche, identificate come CVE-2026-109618 e CVE-2026-109619. Entrambe hanno ricevuto un punteggio di gravità di 9,2 su 10 secondo il sistema CVSS 4.0.
Le falle possono consentire, in determinate condizioni, l’esecuzione di codice da remoto senza autenticazione. Significa che un aggressore potrebbe impartire istruzioni a un server vulnerabile senza possedere le credenziali di accesso.
Le conseguenze potenziali comprendono il furto di informazioni, la modifica dei contenuti, l’installazione di software malevolo e l’utilizzo del server compromesso per attaccare altri sistemi.
La vicenda, ribattezzata PHP2Shell dagli specialisti, ha provocato una mobilitazione immediata delle autorità di sicurezza informatica. Alcuni servizi pubblici sono stati temporaneamente disattivati per consentire l’installazione delle correzioni e verificare che le infrastrutture non fossero esposte.
Il dato sui milioni di tentativi di sfruttamento non equivale, tuttavia, a milioni di violazioni riuscite. Le rilevazioni descrivono un’intensa attività ostile contro i sistemi vulnerabili; il numero delle compromissioni effettive rimane da accertare.
Una vulnerabilità nel cuore dell’infrastruttura digitale
PHP nasce nel 1995 e diventa progressivamente uno degli strumenti fondamentali per costruire siti dinamici e applicazioni web.
A differenza dei linguaggi che operano direttamente nel browser, PHP viene eseguito sul server. Elabora richieste, interagisce con database, gestisce sessioni e contribuisce a generare le pagine che gli utenti visualizzano.
È presente nell’architettura di sistemi di gestione dei contenuti come WordPress, Drupal e Joomla, oltre che in numerose applicazioni aziendali sviluppate nel corso degli anni.
Questa diffusione rappresenta contemporaneamente il suo punto di forza e la principale ragione della gravità dell’incidente.
Una vulnerabilità scoperta in un’applicazione utilizzata da poche migliaia di utenti può produrre danni circoscritti. Quando il problema riguarda un componente condiviso da milioni di server, la superficie potenziale dell’attacco assume dimensioni globali.
Nel caso di PHP2Shell, gli errori riguardano la gestione della memoria e dello stato interno dell’interprete. In alcune circostanze, informazioni appartenenti a una richiesta possono rimanere disponibili dopo che la memoria associata è stata liberata. Una richiesta successiva può quindi incontrare uno stato non correttamente inizializzato.
È un problema tecnico complesso, ma le implicazioni sono immediate: un aggressore potrebbe sfruttare il comportamento anomalo dell’interprete per eseguire istruzioni arbitrarie.
Particolarmente delicata è la situazione dei server Apache configurati con mod_php. Le autorità di sicurezza hanno segnalato rischi anche per altri ambienti di esecuzione, tra cui PHP-FPM, a seconda delle condizioni e delle modalità di sfruttamento.
La vulnerabilità può manifestarsi prima che venga eseguito il codice dell’applicazione. Un sito apparentemente aggiornato, con plugin e componenti corretti, potrebbe quindi restare esposto se il server utilizza una versione vulnerabile dell’interprete PHP.
L’Europa spegne i servizi per evitare le intrusioni
La reazione delle istituzioni europee è stata rapida.
La Commissione europea, ENISA, CERT-EU, Europol e la rete dei gruppi nazionali di risposta agli incidenti informatici hanno diffuso un avviso congiunto, invitando le organizzazioni a identificare immediatamente le installazioni PHP esposte su Internet e ad applicare gli aggiornamenti.
La raccomandazione è stata accompagnata da una scelta operativa insolita per la sua portata: quando non era possibile intervenire rapidamente, le autorità hanno suggerito di valutare la sospensione temporanea dei servizi vulnerabili.
Nel Regno Unito e in Finlandia alcuni siti istituzionali sono diventati temporaneamente indisponibili. Interruzioni e interventi precauzionali hanno interessato anche servizi in altre aree del mondo.
In Giappone il ministero delle Finanze ha limitato l’accesso a parti dei propri sistemi digitali durante le verifiche. La banca Mitsubishi UFJ Financial Group ha adottato misure analoghe. La Cina ha sollecitato controlli urgenti, mentre la Corea del Sud ha innalzato il livello di attenzione per la sicurezza informatica del settore privato.
Le sospensioni non dimostrano che i sistemi siano stati compromessi. In molti casi rappresentano una misura preventiva: rinunciare temporaneamente alla disponibilità di un servizio per ridurre il rischio di perdere il controllo dell’infrastruttura.
La distinzione è essenziale. Nella gestione di una crisi informatica, un sito offline può essere il risultato di una difesa efficace anziché la prova di un attacco riuscito.
Il costo economico e organizzativo rimane comunque significativo. Quando una piattaforma pubblica interrompe l’accesso, cittadini e imprese possono trovarsi impossibilitati a completare procedure amministrative, consultare documenti o utilizzare servizi essenziali.
La sicurezza del software diventa così un problema di continuità dello Stato e dell’economia.
L’intelligenza artificiale scopre ciò che gli sviluppatori non avevano risolto
L’aspetto più significativo della vicenda riguarda il ruolo dell’intelligenza artificiale.
Le vulnerabilità sono state individuate e analizzate attraverso attività di ricerca che hanno utilizzato modelli AI per esaminare il codice, riconoscere comportamenti anomali e verificare possibili modalità di sfruttamento.
OpenAI ha riferito di aver collaborato per circa due mesi con sviluppatori e organizzazioni specializzate nella sicurezza informatica per contribuire alla preparazione delle correzioni prima della divulgazione pubblica.
Anche la società di cybersecurity Wiz ha partecipato alle attività di individuazione e analisi delle falle.
Il contributo dell’AI modifica uno dei passaggi più impegnativi della ricerca di sicurezza: trovare vulnerabilità nascoste in progetti software estesi, sviluppati nell’arco di decenni e sottoposti a migliaia di modifiche.
Tradizionalmente questa attività richiede specialisti capaci di comprendere l’architettura di un programma, analizzare il comportamento della memoria e costruire test mirati. I modelli più avanzati possono accelerare parte del lavoro, individuando correlazioni e suggerendo percorsi di verifica che i ricercatori umani devono poi controllare.
L’AI non elimina la necessità dell’esperienza tecnica. Cambia però il numero di ipotesi che possono essere esplorate e il tempo necessario per farlo.
Nel caso PHP, il problema è ancora più significativo perché almeno alcuni elementi della vulnerabilità erano stati segnalati già nel 2024. All’epoca non era stato individuato un percorso concreto di attacco considerato sufficiente a giustificare un intervento prioritario.
La PHP Foundation ha riconosciuto che il ritardo rifletteva una debolezza strutturale nei processi di gestione della sicurezza.
È un’ammissione che supera il singolo incidente.
Una parte rilevante dell’infrastruttura digitale mondiale dipende da software open-source mantenuto da gruppi relativamente piccoli di sviluppatori, spesso con risorse limitate rispetto alla diffusione e all’importanza economica dei programmi di cui sono responsabili.
Quando anche gli aggressori utilizzano l’AI
La scoperta delle vulnerabilità è soltanto la prima fase della vicenda.
Una volta pubblicate le correzioni, gli aggressori possono confrontare le versioni precedenti del software con quelle aggiornate. Questo procedimento, noto come patch diffing, permette di individuare le modifiche introdotte dagli sviluppatori e ricostruire il problema che hanno cercato di eliminare.
L’intelligenza artificiale può accelerare anche questa attività.
Modelli capaci di leggere codice, analizzare modifiche e generare programmi di test possono ridurre il tempo necessario per passare dalla conoscenza di una vulnerabilità alla costruzione di strumenti di attacco.
È qui che cambia il rapporto tra difensori e aggressori.
In passato, la pubblicazione di una correzione poteva lasciare agli amministratori un intervallo relativamente ampio per aggiornare i sistemi prima che comparissero strumenti di sfruttamento affidabili. Oggi quella finestra può restringersi drasticamente.
Le rilevazioni di Cloudflare indicano che le attività ostili erano già iniziate prima della divulgazione ufficiale e hanno accelerato immediatamente dopo.
I ricercatori hanno inoltre osservato tentativi di utilizzare PHP2Shell per distribuire componenti riconducibili alla botnet Mirai, conosciuta per il controllo di dispositivi compromessi e per gli attacchi distribuiti contro servizi online.
Alla data delle prime analisi pubbliche, tuttavia, non risultava confermata una compromissione riuscita attribuibile a quei tentativi specifici.
La differenza tra capacità teorica, tentativo osservato e intrusione accertata deve restare centrale nella valutazione del rischio.
La disponibilità di strumenti automatici aumenta la pressione sulle difese, ma non significa che ogni tentativo abbia successo.
Il problema italiano: migliaia di siti dipendono dal proprio hosting
Per l’Italia, PHP2Shell rappresenta un test concreto della sicurezza di pubbliche amministrazioni, imprese e organizzazioni che gestiscono servizi digitali.
Molti siti istituzionali, portali aziendali, piattaforme editoriali e negozi online utilizzano PHP direttamente o attraverso sistemi di gestione dei contenuti.
Una parte significativa di queste organizzazioni non amministra autonomamente i server. Affida l’infrastruttura a fornitori di hosting, società informatiche o gestori di servizi cloud.
Questo modello consente di ridurre i costi e semplificare la manutenzione, ma introduce una dipendenza operativa.
Il proprietario di un sito può aggiornare WordPress e i relativi plugin senza avere il controllo diretto sulla versione PHP utilizzata dal server.
Di conseguenza, un intervento limitato all’applicazione non è sufficiente a correggere una vulnerabilità dell’interprete.
Il CERT-AGID ha pubblicato un avviso specifico sulle due falle, raccomandando di intervenire prioritariamente sui servizi esposti a Internet.
Le versioni correttive indicate sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per le installazioni più vecchie, ormai fuori supporto, occorre verificare la disponibilità di correzioni mantenute dai fornitori oppure programmare la migrazione verso versioni supportate.
Non tutte le installazioni richiedono necessariamente lo stesso intervento: alcuni distributori Linux e fornitori di supporto a lungo termine possono integrare le correzioni nelle proprie versioni senza modificarne il numero principale.
La verifica deve quindi riguardare l’effettiva presenza della patch, non soltanto il numero della versione visualizzato nel pannello di amministrazione.
Per le piccole e medie imprese il problema è soprattutto organizzativo. Occorre sapere quali applicazioni utilizzano PHP, chi è responsabile degli aggiornamenti, quali servizi sono esposti e quanto tempo serve per intervenire.
Senza un inventario affidabile delle infrastrutture, anche una correzione disponibile rischia di arrivare troppo tardi.
Il costo nascosto del software che sostiene Internet
L’incidente mette in evidenza una contraddizione dell’economia digitale.
Le aziende investono miliardi in cloud, intelligenza artificiale e piattaforme innovative, ma una parte essenziale dei servizi continua a dipendere da componenti software sviluppati molti anni fa.
Questi programmi vengono aggiornati continuamente, ma conservano architetture e scelte progettuali nate in un contesto tecnologico differente.
Ogni modifica può introdurre nuovi errori. Ogni integrazione aumenta la complessità. Ogni sistema non più supportato diventa un potenziale punto di ingresso.
La vulnerabilità di un singolo componente può così propagare il rischio lungo un’intera catena di fornitori.
Un’impresa può disporre di un sito apparentemente sicuro, ma dipendere da un servizio esterno che utilizza una versione vulnerabile del linguaggio. Un’amministrazione può aggiornare il proprio portale, lasciando esposto un vecchio sistema di autenticazione o un’interfaccia di gestione.
È il problema della sicurezza della catena di fornitura software.
Le istituzioni europee hanno già avviato un rafforzamento delle regole attraverso strumenti come la direttiva NIS2 e il Cyber Resilience Act, che intervengono, con ambiti e obblighi differenti, sulla gestione del rischio informatico e sulla sicurezza dei prodotti digitali.
PHP2Shell mostra perché la regolamentazione debba essere accompagnata da capacità tecniche, personale qualificato e procedure di aggiornamento realmente applicabili.
Un obbligo di sicurezza non corregge automaticamente una vulnerabilità. Serve un’organizzazione capace di individuare il problema, valutarne la gravità e intervenire prima che venga sfruttato.
Una nuova stagione per la cybersecurity europea
Il caso PHP arriva mentre cresce il numero delle vulnerabilità individuate grazie all’intelligenza artificiale.
Secondo le valutazioni riportate da Reuters e dalle società di sicurezza, gli strumenti AI stanno accelerando la scoperta di difetti rimasti nascosti per anni in componenti fondamentali dell’infrastruttura digitale.
Il fenomeno potrebbe produrre, almeno nel breve periodo, un aumento delle emergenze.
Più vulnerabilità vengono scoperte, maggiore è il numero di correzioni da distribuire. Ogni pubblicazione crea un intervallo nel quale i sistemi non aggiornati diventano bersagli potenziali.
Il vantaggio finale dipenderà dalla capacità dei difensori di utilizzare l’AI con la stessa efficacia degli aggressori.
Per l’Europa si apre una questione industriale e strategica. La protezione delle infrastrutture digitali non può essere affidata esclusivamente alla capacità delle singole aziende di reagire agli incidenti.
Servono strumenti condivisi per individuare rapidamente i sistemi vulnerabili, procedure coordinate di divulgazione delle falle, investimenti nella manutenzione del software open-source e capacità di risposta distribuite tra istituzioni, operatori cloud e imprese.
Il ruolo di ENISA, CERT-EU e delle strutture nazionali di cybersecurity diventa particolarmente rilevante nella circolazione tempestiva delle informazioni.
La collaborazione con i grandi fornitori tecnologici resta indispensabile, ma solleva anche una questione di autonomia. Gran parte delle capacità di analisi automatizzata, protezione delle reti e ricerca avanzata sulle vulnerabilità è concentrata in un numero limitato di aziende globali.
L’Europa dovrà quindi sviluppare competenze proprie, sostenere la ricerca e assicurarsi che le infrastrutture critiche possano essere protette anche in condizioni di forte dipendenza tecnologica dall’estero.
La vicenda PHP2Shell offre un’anticipazione di ciò che potrebbe accadere nei prossimi anni.
L’intelligenza artificiale renderà possibile individuare difetti del software con una velocità prima impensabile. Molte vulnerabilità potranno essere corrette prima di provocare danni. Altre diventeranno pubbliche quando una parte delle infrastrutture non sarà ancora pronta a difendersi.
Il vero cambiamento non riguarda quindi soltanto la capacità di trovare le falle. Riguarda il tempo disponibile per reagire.
Per governi, imprese e operatori delle infrastrutture critiche, la sicurezza informatica sta entrando in una fase nella quale il ritardo tra scoperta e correzione può determinare la continuità di un servizio pubblico, la protezione di una banca dati o la sopravvivenza operativa di un’azienda.
PHP2Shell potrebbe essere ricordato come uno dei primi grandi incidenti di questa nuova stagione: quella in cui la velocità dell’intelligenza artificiale comincia a superare i tempi organizzativi con cui Internet è stato abituato a difendersi.
