Cosa è emerso
Per oltre dieci anni gravi difetti sono rimasti non rilevati nella tecnologia alla base di buona parte di internet. A portarli alla luce è stata l'intelligenza artificiale, secondo la ricostruzione della BBC, innescando un'allerta globale di cybersecurity. Le vulnerabilità riguardano PHP, il linguaggio di programmazione usato a livello internazionale fin dagli anni 2000 per costruire siti web.
Mercoledì governi e agenzie di sicurezza di tutto il mondo si sono mossi per contenere le conseguenze della scoperta, invitando i gestori dei siti a installare una nuova correzione d'emergenza o a valutare la sospensione delle piattaforme. La società di sicurezza Wiz, tra quelle i cui ricercatori hanno individuato i difetti, li ha definiti i più gravi mai rilevati dall'IA. OpenAI, la cui tecnologia è stata impiegata per trovarli, ha parlato di uno dei problemi di sicurezza più impattanti della memoria recente.
Perché conta
PHP è poco noto al pubblico ma viene incontrato quotidianamente: alimenta un gran numero di piattaforme, tra cui negozi online, Wikipedia e WordPress, il sistema di gestione dei contenuti dietro molti siti come i blog. Paul Spain, amministratore delegato di Gorilla Cyber Security, ha spiegato alla BBC che quando si visita un sito come Wikipedia è PHP il codice che raccoglie le informazioni necessarie e le presenta in una forma leggibile sul web.
Il difetto consente potenzialmente ad attaccanti di prendere il controllo dei server web colpiti senza autenticazione e di sottrarre dati sensibili, lasciando esposto tutto ciò che è costruito su PHP. Spain stima che il problema possa riguardare milioni e milioni di siti. La ricercatrice Jill Slay, dell'Università di Adelaide, ha avvertito che sarebbe disastroso se hacker o Stati trasformassero la falla in un'arma per impossessarsi di dati privati.
Servizi sospesi e indicazioni delle autorità
L'allerta ha interrotto servizi a livello mondiale, da piattaforme di gioco a portali governativi e forum online. Wikimedia, l'organizzazione dietro Wikipedia, ha spento diversi sistemi per precauzione. Siti e pagine sono stati messi offline dal governo finlandese, dal consiglio di Edimburgo e dalla BBC, mentre l'agenzia di cybersecurity dei Paesi Bassi ha ritirato il proprio sito. Numerose organizzazioni pubbliche scozzesi, tra consigli e aziende sanitarie, hanno fatto lo stesso.
I sviluppatori di PHP mercoledì hanno distribuito le correzioni, invitando tutti gli utenti ad aggiornare subito. La National Security Agency statunitense ha chiesto alle organizzazioni di mettere offline i sistemi se non possono applicare immediatamente la patch. Anche il National Cyber Security Centre britannico e le agenzie di UE, Singapore e Australia hanno diffuso avvisi analoghi. Il premier giapponese Sanae Takaichi ha esortato a verificare se i siti pubblici usano PHP.
Come sono state trovate
Le vulnerabilità sono state individuate dai ricercatori delle società di sicurezza Calif e Wiz, usando strumenti di IA avanzati capaci di analizzare il codice e trovare difetti molto più rapidamente di quanto facciano esseri umani o sistemi precedenti. Il ricercatore Salil Kanhere, dell'UNSW di Sydney, ha osservato che i bug di fondo non erano nuovi: è cambiata la capacità di trovarli. I dettagli della scoperta sono trapelati online questa settimana, spingendo gli sviluppatori di PHP ad anticipare l'annuncio.
Amazon ha dichiarato di essere stata bersaglio di molteplici tentativi giorni prima della divulgazione pubblica del problema; non è noto come i potenziali attaccanti ne fossero a conoscenza. OpenAI ha pubblicato un programma per verificare se PHP è sicuro. Resta da verificare l'effettiva portata degli attacchi subiti e quante piattaforme siano già state aggiornate.