Sono stati resi noti i dettagli di una falla critica nel linguaggio di programmazione PHP, che costituisce la base di oltre il 70% di tutti i siti web. Se non corretta, questa falla consentirebbe agli hacker di assumere facilmente il controllo e compromettere milioni di siti web e le informazioni in essi contenute. In risposta, diversi governi e operatori europei, tra cui il Porto di Rotterdam, hanno disattivato alcuni siti web.
La Direzione australiana per le comunicazioni (Australian Signals Directorate), l'Agenzia statunitense per la difesa cibernetica (Cyber Defence Agency) e organismi analoghi del Regno Unito, dell'Europa e del Giappone hanno avvertito gli sviluppatori web di applicare urgentemente aggiornamenti ai loro sistemi principali e di valutare la possibilità di sospendere temporaneamente i siti web fino a quando non sarà possibile garantirne la sicurezza.
L'organizzazione che gestisce il linguaggio libero e open-source ha pubblicato degli aggiornamenti che correggono la vulnerabilità, ma l'implementazione di tali aggiornamenti sui milioni di sistemi che utilizzano PHP richiederà tempo.
Cos'è PHP?
PHP viene spesso definito "la spina dorsale del web". Si tratta di un linguaggio di programmazione , ovvero un modo per impartire istruzioni ai computer, che esiste dal 1997 e consente ai siti web di gestire gli input degli utenti ed elaborare le informazioni in background.
La forza di PHP risiede nella sua versatilità. I siti web lo utilizzano per qualsiasi cosa, dall'accesso degli utenti agli account e la gestione di negozi online, alla richiesta di dati dai database e all'alimentazione di milioni di articoli di blog e siti di notizie.
PHP viene eseguito sul server anziché sul tuo computer personale. Ciò significa che la maggior parte di noi interagisce con PHP ogni giorno senza mai vederlo.
Una cronologia delle preoccupazioni
Ad agosto, alcuni ricercatori di sicurezza informatica di un'azienda chiamata Wiz hanno utilizzato i propri strumenti e le ultime versioni dei modelli di intelligenza artificiale Gemini di Google e ChatGPT di OpenAI per analizzare l'enorme codice sorgente di PHP.
Il team di Wiz era alla ricerca di vulnerabilità di programmazione nascoste che un aggressore potesse concatenare per assumere il controllo di un sistema basato su PHP semplicemente inviando una richiesta appositamente predisposta tramite Internet.
Nel giro di pochi giorni, hanno trovato il modo di penetrare nei sistemi basati su PHP di Drupal e WordPress , utilizzati in vaste aree del web.
Wiz ha contattato il team di sicurezza di PHP per segnalare le vulnerabilità riscontrate. Verso la fine di settembre, gli sviluppatori di PHP hanno confermato l'esistenza del problema e hanno iniziato a lavorare in silenzio per risolverlo.
Nel campo della sicurezza informatica, la cosa responsabile da fare quando si scopre una vulnerabilità è mantenerla riservata fino a quando non è disponibile una patch. Questo perché la divulgazione pubblica potrebbe fornire agli hacker una mappa dettagliata da sfruttare.
Sembra che questo fosse proprio ciò che gli sviluppatori PHP avevano in programma. Tuttavia, ieri un utente del popolare sito web di settore Hacker News ha lasciato trapelare la notizia delle falle di sicurezza prima che fossero pronte le patch.
In seguito alla fuga di notizie, gli sviluppatori di PHP si sono affrettati a confermare pubblicamente il problema il 21 ottobre, rilasciando patch di emergenza in anticipo rispetto ai tempi previsti.
L'implementazione delle patch è tutt'altro che semplice. Poiché PHP si trova al di sotto di migliaia di plugin di terze parti, framework e servizi di hosting gestiti, i siti web sono sicuri solo quando ogni singolo livello della catena di fornitura integra e distribuisce la correzione per PHP.
Perché continua a succedere?
Gran parte di Internet si basa su tecnologie fondamentali sviluppate e mantenute da sviluppatori amatoriali. Molte di queste si affidano alla buona volontà e alle donazioni piuttosto che a solidi finanziamenti aziendali.
Molti di questi strumenti sono stati sviluppati decenni fa. Non sono mai stati progettati per supportare in modo sicuro un mondo in cui milioni di siti web e miliardi di dispositivi li utilizzano per gestire dati sensibili e privati.
A complicare ulteriormente la situazione, la manutenzione raramente rappresenta una priorità per le organizzazioni. Troppo spesso, le aziende possiedono solo una conoscenza basilare di tutti gli elementi delle proprie catene di approvvigionamento, siano esse fisiche o digitali.
Anche in casi di alto profilo come questo, molte aziende non si rendono nemmeno conto da quale software dipendono, né tantomeno hanno idea di quanto sia effettivamente sicuro.
Cosa dovresti fare?
Questo problema riguarda principalmente chi si occupa della manutenzione di siti web o della gestione di infrastrutture tecniche. Per queste persone, la priorità è chiara: applicare immediatamente le patch di sistema non appena disponibili gli aggiornamenti e valutare la possibilità di disattivare i sistemi critici da Internet finché non si ha la certezza della loro sicurezza.
Per gli utenti internet comuni, queste vulnerabilità interessano i server che ospitano i siti web, non il dispositivo personale. Tuttavia, poiché alcuni siti potrebbero essere temporaneamente compromessi prima di poter essere aggiornati, è consigliabile prestare attenzione nell'inserire dati personali sensibili su siti web sconosciuti nei prossimi giorni.
I principali fornitori di servizi cloud e le aziende di sicurezza stanno implementando filtri di emergenza, ma la corsa globale per proteggere il web è solo all'inizio.
I team di sicurezza informatica di tutto il mondo si stanno adoperando per contenere i danni. Ma la portata di questo problema dovrebbe essere un campanello d'allarme.
Governi e imprese non possono ignorare la resilienza delle proprie catene di approvvigionamento digitali. Così come i produttori tengono traccia dei fornitori dei componenti fisici da cui dipendono, allo stesso modo le infrastrutture digitali dovrebbero tracciare ogni sistema e framework da cui dipendono.
La raccolta di queste informazioni è il primo passo per aziende e governi per comprendere appieno quanto la loro sostenibilità digitale dipenda da codice open source sottofinanziato e gestito da volontari. Finché le aziende non considereranno il finanziamento di strumenti open source fondamentali come un investimento critico per la sicurezza, anziché come un'opera di beneficenza, queste vulnerabilità continueranno a verificarsi.
Andrew Cullen, ricercatore ospite presso la School of Computing and Information Systems dell'Università di Melbourne.
Questo articolo è stato ripubblicato da The Conversation con licenza Creative Commons. Leggi l' articolo originale.
