La PHP Foundation ammette un «fallimento strutturale» che ha ritardato una correzione critica della sicurezza

La PHP Foundation ha riconosciuto che indecisione e carenza di risorse hanno ritardato la correzione di una grave vulnerabilità di sicurezza individuata per la prima volta nel 2024, definendo la risposta lenta un «fallimento strutturale».

Agenzie governative e altre organizzazioni in tutto il mondo hanno disattivato i siti web mercoledì come misura precauzionale, mentre PHP rilasciava patch d'emergenza per due critiche vulnerabilità correlate. Le falle potrebbero consentire a utenti non autenticati di eseguire codice sui server interessati senza accedere.

PHP è un linguaggio di programmazione ampiamente utilizzato per gestire siti web e applicazioni web, inclusi i sistemi di gestione dei contenuti.

In un post sul blog pubblicato dopo il rilascio della patch, la fondazione ha descritto come i suoi sviluppatori abbiano individuato per la prima volta segni della vulnerabilità nel 2024, ma abbiano avuto difficoltà a trovare una soluzione senza compromettere l’ampio ecosistema di software basato su PHP.

«Unita alla mancanza di una via nota per l’esecuzione remota di codice e al ridotto numero di sviluppatori principali con la necessaria competenza approfondita del motore, già impegnati su molteplici fronti, questa procedura decisionale ha causato ripetuti stallo e riavvio del lavoro sulla correzione per mesi», ha dichiarato la fondazione.

«Non lo negheremo: il ritardo è stato un fallimento strutturale, causato sia dal processo decisionale del team di sicurezza sia dalla sua carenza di risorse.»

La fondazione è stata nuovamente informata della vulnerabilità l’11 agosto, dopo che la società di sicurezza Calif e OpenAI hanno segnalato indipendentemente lo stesso problema sottostante, con Calif che ha dimostrato un’esecuzione remota di codice incondizionata, rendendolo una priorità assoluta per la sicurezza.

Siti web oscurati a causa dell’allarme sulla sicurezza di PHP

Il disagio si è esteso in tutto il mondo, con gli sviluppatori che hanno disconnesso i siti web in attesa dell’installazione delle correzioni d’emergenza.

I Paesi Bassi hanno disattivato il proprio servizio digitale di identità e il Centro nazionale per la sicurezza informatica ha anch’esso messo offline il suo sito web.

Il fornitore IT statale finlandese Valtori ha disconnesso i servizi web pubblici governativi, mentre il Ministero dell’Interno francese ha temporaneamente disattivato i siti web delle prefetture. Anche il fornitore federale IT tedesco ITZBund ha disabilitato diversi siti web, secondo Reuters.

In Australia, l’Australian Signals Directorate ha confermato che il suo sito web sulla cybersecurity, cyber.gov.au, era tra i siti governativi colpiti dal problema PHP.

La prima ministra giapponese Sanae Takaichi ha twittato su X esortando gli operatori di siti web ad applicare la patch il più rapidamente possibile. In un post ha affermato che la sospensione temporanea delle funzionalità del sito potrebbe ridurre il rischio qualora la patch non potesse essere applicata immediatamente.

La Wikimedia Foundation, che gestisce Wikipedia, ha dichiarato di aver disattivato alcuni servizi di supporto come misura precauzionale, tra cui Toolforge e Cloud VPS — piattaforme che ospitano strumenti e progetti sviluppati da volontari — causando il malfunzionamento di parti di Wikipedia mercoledì.

La società di sicurezza blockchain SlowMist ha riferito che il suo servizio MistEye ha analizzato l’uso di PHP nel settore crypto, esortando exchange, piattaforme DeFi e fornitori di wallet a verificare la propria esposizione e aggiornarsi. Tra i 1.488 domini analizzati, ne ha identificati 793 con impronte digitali PHP dirette.

Intersect, organizzazione associativa che sostiene lo sviluppo e la governance della blockchain Cardano, ha comunicato di aver temporaneamente disattivato la sua Area Membri durante la valutazione dell’esposizione potenziale. La pagina rimane offline al momento della stesura.

Il responsabile della sicurezza di Coinbase, Jeff Lunglhofer, ha dichiarato che l’azienda non ha trovato prove di istanze PHP esposte.

«Ogni volta che veniamo a conoscenza di vulnerabilità come questa, eseguiamo automaticamente un controllo completo per garantire la massima sicurezza possibile. Collaboriamo inoltre con i nostri fornitori terzi per ulteriore affidabilità.»

Anche BitGo, società specializzata in infrastrutture per asset digitali, ha dichiarato che la sua piattaforma non è stata interessata dalla vulnerabilità PHP.

Nel frattempo, Changpeng Zhao, co-fondatore di Binance, ha avvertito mercoledì gli utenti internet di essere «particolarmente cauti» nel visitare qualsiasi sito web nei prossimi giorni, poiché alcuni amministratori potrebbero non aver applicato gli aggiornamenti di sicurezza.

OpenAI ha rilasciato una skill Codex per aiutare gli operatori di siti web a verificare la presenza di versioni vulnerabili di PHP e identificare gli aggiornamenti applicabili, accessibile su GitHub.

Il team di sicurezza PHP ha dichiarato di non aver individuato exploit funzionanti al momento della divulgazione pubblica.

Rivista: 5 alternative a Ledger per conservare il tuo Bitcoin