285mila siti italiani a rischio per una falla in PHP: otto su dieci non hanno ancora aggiornato

In meno di tre giorni l'Agenzia per la cybersicurezza nazionale ha pubblicato due bollettini di sicurezza distinti sullo stesso software. Una circostanza che l'Acn stessa descrive come senza precedenti. Il software è PHP, e il messaggio è netto: in Italia oltre 285mila siti web sono esposti al rischio di essere presi in mano da chi attacca dall'esterno.

PHP lavora dietro le quinte di gran parte della rete. Fa funzionare i moduli da compilare, il carrello di un negozio online, l'area riservata di un Comune o di un'azienda. Lo si trova dai portali della pubblica amministrazione alle piattaforme di commercio elettronico, ed è uno dei software più usati per far girare i siti internet.

Le vulnerabilità segnalate sono due e vengono definite gravissime: hanno un punteggio di pericolosità di 9,2 su 10. Permettono a chiunque, dall'esterno, di dare ordini al sito senza conoscere le credenziali di accesso. Le conseguenze possibili, secondo l'Agenzia, vanno dal furto dei dati degli utenti alla modifica delle pagine fino all'interruzione completa dei servizi.

Il rischio non è solo teorico. In rete circolano già le istruzioni per sfruttare i difetti, e l'Acn parla di «recenti tentativi di sfruttamento». A poterli usare non sarebbero soltanto singoli hacker: tra i possibili autori ci sono anche collettivi cyber legati ad «attori statuali», come la Russia.

La buona notizia è che le correzioni esistono. Gli aggiornamenti per chiudere le falle sono già disponibili. La cattiva è che la gran parte dei siti non li ha installati.

I numeri dell'Agenzia, aggiornati al 25 ottobre, lo mostrano con chiarezza. In Italia sono stati individuati 741.523 siti che utilizzano PHP. Per 348.130 di questi è stato possibile verificare la versione del software installata. Tra i siti controllati, 285.149, pari all'81,9%, usano ancora versioni vulnerabili. Soltanto 62.981 risultano aggiornati.

Resta fuori dal conteggio la parte più ampia: per oltre 390mila siti PHP la versione non è stata verificata, quindi non se ne conosce lo stato. Con exploit già in circolazione, la mossa che l'Agenzia indica come urgente è una sola: installare subito gli aggiornamenti.