Spegnere per prudenza, non per attacco
Alcuni siti istituzionali e infrastrutture digitali hanno smesso di funzionare, ma all'origine non c'è un'incursione informatica: stando a quanto scrive Chris Stokel-Walker sul Guardian, nella maggior parte dei casi gli stessi gestori hanno deciso di oscurare i servizi perché tenerli attivi comportava un rischio troppo alto. Tra i casi citati figurano siti governativi olandesi, compreso il sistema di accesso con identità digitale, servizi pubblici finlandesi e alcuni sistemi di Wikimedia, l'organizzazione dietro Wikipedia.
La causa dichiarata sono due gravi vulnerabilità in PHP, il linguaggio di programmazione alla base di circa il 70% dei siti web tracciabili, secondo l'autore. Le falle, in pratica, offrivano a un attaccante una via d'accesso a negozi online, dati dei clienti, password e pagine di pagamento. Il National Cyber Security Centre britannico ha consigliato alle organizzazioni impossibilitate ad aggiornare subito i sistemi di valutare la disattivazione.
Una fragilità ricorrente, con l'IA che cambia la scala
L'articolo colloca l'episodio in una serie lunga: la falla Heartbleed del 2014 in OpenSSL, il difetto Log4j nel 2021 e la backdoor inserita in XZ Utils tre anni dopo. In ognuno di questi casi, secondo Stokel-Walker, piccoli gruppi di sviluppatori hanno individuato e mitigato il problema, spesso con risorse limitate. La PHP Foundation ha ammesso che il ritardo nel correggere la falla, individuata già nel 2024 ma giudicata troppo costosa e complessa da sistemare, è stato un «fallimento strutturale» legato alla scarsità di mezzi.
Il fattore nuovo è l'automazione. Ricercatori che lavorano con Calif, OpenAI e Wiz hanno mostrato quanto facilmente la vulnerabilità PHP potesse essere sfruttata con strumenti di intelligenza artificiale, e secondo Matthew Prince, amministratore delegato di Cloudflare, la sua azienda ha già registrato milioni di tentativi di sfruttamento. L'autore cita anche il volume crescente di vulnerabilità documentate: circa 48.000 nel 2025 e oltre 84.000 nel 2026, con due mesi ancora da chiudere, cioè una ogni cinque minuti. Non tutte hanno la gravità di questa, valutata 9,2 su una scala di 10.
Il nodo irrisolto: chi paga la manutenzione
La conseguenza indicata è che episodi simili si ripeteranno, perché l'IA rende molto più economico scovare debolezze in grandi quantità di codice vecchio, mentre ripararle resta difficile. Stokel-Walker richiama una revisione del governo britannico del 2025 secondo cui circa il 28% della tecnologia centrale dello Stato è classificata come «legacy», cioè obsoleta, e alcune organizzazioni non sapevano nemmeno quantificare il software datato in uso. Ad aprile i ministri avrebbero ammesso di non poter fornire un quadro completo di quanto fosse stato corretto o dismesso.
La proposta dell'autore è duplice: le aziende devono sapere quali software usano, compresi i componenti oscuri, e chi è responsabile degli aggiornamenti; serve poi un finanziamento adeguato. Come elementi positivi cita i 400.000 euro e oltre ricevuti dalla OpenSSL Foundation dal fondo tecnologico sovrano tedesco, l'assunzione di nuovo personale da parte della PHP Foundation e l'uso dell'IA per distinguere le segnalazioni rilevanti, oltre alle correzioni già distribuite da diverse organizzazioni prima della divulgazione pubblica. Resta però non verificato, nel materiale, quali sistemi siano stati ripristinati e con quali tempi.