PHP sotto attacco: dati rubati e sistemi dirottati, cosa rischiano milioni di utenti

La valutazione di Google Cloud lascia poco spazio alle rassicurazioni: le due vulnerabilità individuate in PHP hanno ricevuto un punteggio di 9.2 su 10 nella scala CVSS, riservato ai casi critici. In determinate condizioni, un aggressore può provocare il blocco del sistema, prenderne il controllo e intervenire sui dati archiviati.

Il servizio Google Cloud, chiarisce l’azienda, non presenta una vulnerabilità propria. Il pericolo riguarda però le applicazioni scritte in PHP che vi vengono eseguite. Le indicazioni diffuse da Chris Betz, responsabile della sicurezza delle informazioni, e Raluca Ada Popa, responsabile della sicurezza di Gemini per Google DeepMind, chiedono ai clienti di intervenire senza ritardi.

Il pericolo corre oltre i singoli programmi

PHP non è un applicativo isolato, ma una tecnologia impiegata per far funzionare una vasta quantità di servizi web. Per questo il problema può coinvolgere software recenti, infrastrutture mantenute aggiornate e piattaforme utilizzate da aziende, amministrazioni e fornitori di servizi digitali.

William Nonnis, analista tecnologico della Presidenza del Consiglio dei ministri, spiega che circa il 70 o l’80 per cento dei programmi europei destinati alla gestione del personale utilizza PHP. Tra le informazioni potenzialmente esposte rientrano quindi credenziali, dati bancari, codici Iban e buste paga. Secondo tre esperti interpellati sul tema, l’ampiezza della minaccia è notevole e non si limita ai sistemi più vecchi o realizzati senza adeguate protezioni.

Michele Colajanni, docente di Ingegneria informatica all’Università di Bologna, riferisce che diversi Paesi europei hanno già sospeso siti e servizi online dopo la scoperta delle falle. Il rischio, dunque, non riguarda un singolo archivio né una sola piattaforma: può propagarsi attraverso applicazioni differenti che condividono lo stesso componente tecnologico.

Aggiornare subito o isolare i servizi

L’Agenzia per la cybersicurezza nazionale ha segnalato la disponibilità delle correzioni per due vulnerabilità classificate come critiche. In caso di sfruttamento, un intruso collegato da remoto potrebbe eseguire comandi a propria scelta sui sistemi interessati. La rapidità dell’aggiornamento diventa quindi decisiva, ma non tutte le organizzazioni dispongono delle competenze necessarie per applicarlo e verificarne gli effetti.

Il CERT-EU raccomanda di installare immediatamente la correzione. Quando questo non sia possibile, suggerisce di separare temporaneamente le applicazioni accessibili da Internet dalle reti pubbliche, mantenendole isolate fino alla conclusione dell’intervento e dei controlli. Anche l’autorità britannica per la sicurezza informatica ha invitato le organizzazioni ad adottare misure urgenti e a verificare i sistemi prima di procedere, così da individuare eventuali tracce di intrusione o accessi nascosti già installati.

Se l’analisi non può essere svolta internamente, le indicazioni britanniche prevedono il ricorso a un fornitore certificato di servizi per la gestione degli incidenti informatici. La priorità non è soltanto applicare la patch, ma accertarsi che l’infrastruttura non sia già stata compromessa.

I primi tentativi sono già cominciati

Un imprenditore e consulente informatico, che ha scelto di non rendere pubblico il proprio nome, racconta di aver rilevato diversi attacchi contro la sua azienda nella notte. Dopo aver installato rapidamente la correzione, ha osservato nuovi tentativi di accesso quasi immediati: «Cercavano nomi utente e password, credenziali per entrare nei sistemi protetti e probabilmente anche buste paga».

L’episodio mostra quanto possa essere breve l’intervallo tra la pubblicazione di una vulnerabilità e l’avvio delle attività ostili. Nonnis avverte inoltre che la minaccia può colpire anche ambienti aggiornati fino alla distribuzione delle correzioni, perché l’esposizione dipende dalle applicazioni e dalla loro configurazione.

In Italia esistono già precedenti di furti legati a sistemi usati per amministrare il personale. Nel novembre 2025, l’attacco contro Almaviva aveva coinvolto anche dati bancari riferibili ai dipendenti di Ferrovie dello Stato, per circa 70mila persone. L’attuale falla, tuttavia, ha un raggio potenziale più ampio: il componente PHP è presente in servizi distribuiti in Europa e nel resto del mondo.