“Falle nel codice PHP? Rischio hacker per i dati sensibili di milioni di europei. Il pericolo è già in atto”

“La falla informatica sul linguaggio PHP mette a rischio i dati di milioni di europei, incluse le buste paga, perché il 70 o l’80 per cento dei software per la gestione del personale nel Vecchio Continente si basa proprio su questa tecnologia di programmazione”, dice William Nonnis, analista tecnologico della presidenza del Consiglio dei ministri, interpellato da ilfattoquotidiano.it. Parliamo dei dati bancari, incluso l’Iban. Ieri l’Agenzia per la cybersicurezza nazionale ha comunicato ufficialmente la pubblicazione di aggiornamenti di sicurezza per sanare “due nuove vulnerabilità con gravità ‘critica’ in PHP. Qualora sfruttate”, dice la nota, “potrebbero permettere a un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati”. Il rischio è già in atto. L’Agenzia diretta da Andrea Quacivi ha diffuso la “toppa” da cucire sul “buco”, ora bisogna tappare la falla e non è detto che tutti siano all’altezza. Il compito non è banale e le competenze informatiche possono mancare nel tessuto produttivo italiano. Dunque saranno abbastanza rapide le aziende, i professionisti, gli utenti e le pubbliche amministrazioni?

L’imprenditore: “Stanotte ho subito diversi attacchi”

“Ho subito diversi attacchi informatici, stanotte contro la mia azienda”, racconta a ilfattoquotidiano.it un imprenditore e consulente informatico che preferisce restare anonimo. “Ho messo una patch al volo, ma in un attimo stavano già provando ad entrare”, prosegue tirando un sospiro di sollievo. Cosa cercavano i criminali? “Nomi utenti e password, credenziali per accadere ai sistemi protetti, ma anche buste paga, le motivazioni per le quali si buca un server sono tantissime”, conclude. In Italia le buste paga sono già state colpite. A novembre 2025, un attacco informatico contro Almaviva ha esposto, tra le altre cose, anche i dati bancari dei dipendenti di Ferrovie dello Stato. Parliamo di circa 70mila persone. Ora la minaccia è estesa su scala europea e globale. Perché la falla non riguarda un singolo software. E non si tratta di una violazione contro uno specifico database o sistema informatico. Il bug riguarda “il motore” che fa girare gran parte degli applicativi web in giro per il mondo. Secondo tre esperti consultati da ilfattoquotidiano.it, “le proporzioni di questo problema sono enormi”. “Il rischio va ben oltre programmi informatici obsoleti o applicazioni sviluppate senza adeguati criteri di sicurezza”, avvisa William Nonnis, “ma può interessare anche infrastrutture tecnologiche regolarmente aggiornate, fino all’applicazione delle correzioni necessarie”.

L’agenzia europea: “Isolare le applicazioni in attesa della patch”

L’agenzia europea per la cybersicurezza (CERT-EU) suggerisce di staccare la spina, in un comunicato pubblicato ieri, nel caso non sia possibile applicare la patch. Il “consiglio” è di riparare subito le vulnerabilità, ma “qualora ciò non sia possibile, le organizzazioni dovrebbero valutare la possibilità di isolare le applicazioni esposte a Internet dalle reti pubbliche fino a quando la correzione non sarà applicata e verificata”. “Molti Paesi europei hanno sospeso siti e servizi web a causa di questa vulnerabilità clamorosa”, dice Michele Colajanni, docente di Ingegneria informatica all’università di Bologna e tra i massimi esperti italiani. Ieri l’Agenzia nazionale per la sicurezza informatica del Regno Unito ha diffuso un comunicato incoraggiando “le organizzazioni ad adottare misure immediate per mitigare” il rischio, fornendo le istruzioni. Ma “se non siete in grado di aggiornare o disabilitare immediatamente il sistema, prima di procedere con l’aggiornamento o la mitigazione, è necessario valutarlo per individuare eventuali segni di compromissione e verificare la presenza di backdoor installate da un malintenzionato. Se non vi sentite sicuri di poterlo fare autonomamente, potete richiedere assistenza a un fornitore di servizi di risposta agli incidenti informatici (CIR) certificato NCSC”.

Google Cloud: “Aggressori possono mandare in crash, rubare o modificare facilmente i dati”

Il problema non riguarda solo le aziende e i software per gestire il personale. I rischi coinvolgono anche gli utenti di Google Cloud, secondo il comunicato del colosso tecnologico statunitense: sebbene il servizio “di per sé non sia vulnerabile, gli utenti di PHP in esecuzione su Google Cloud potrebbero esserlo. Comprendiamo la gravità di queste vulnerabilità e stiamo condividendo delle linee guida per aiutare i nostri clienti ad adottare misure immediate per proteggere le proprie applicazioni”. La nota del colosso è firmata da Chris Betz (Chief Information Security Officer, Direttore della Sicurezza delle Informazioni) e Raluca Ada Popa (Responsabile della sicurezza Gemini, Google DeepMind). Il testo non è rassicurante: “il punteggio di gravità di base ufficiale del Common Vulnerability Scoring System (CVSS) per ciascuna delle vulnerabilità di PHP è stato determinato come Critico, con un livello di gravità pari a 9.2. In generale, questa classificazione significa che gli aggressori possono mandare in crash e dirottare il sistema interessato, e possono facilmente rubare, modificare ed eliminare i dati, sebbene alcune circostanze attenuanti possano rendere più difficile lo sfruttamento della vulnerabilità”.

L'articolo “Falle nel codice PHP? Rischio hacker per i dati sensibili di milioni di europei. Il pericolo è già in atto” proviene da Il Fatto Quotidiano.