Allarme sicurezza sul web: scoperte due falle critiche, siti oscurati in Europa
Le autorità europee e americane raccomandano aggiornamenti immediati e, in alcuni casi, la disattivazione temporanea dei servizi online esposti.
NEW YORK - Una grave falla di sicurezza appena scoperta sta minando le fondamenta di numerosi siti web e servizi online in tutto il mondo. Con l'aiuto dell'intelligenza artificiale, i creatori del linguaggio di scripting PHP, tecnologia che alimenta il 70% dei siti web a livello mondiale, hanno scoperto delle falle che potrebbero essere sfruttate dagli hacker per prendere il controllo di qualsiasi sistema che usa il software PHP.
In un comunicato diffuso oggi l'Ufficio federale per la cibersicurezza (UFCS) spiega che due vulnerabilità critiche in PHP potrebbero consentire agli hacker di eseguire un codice dannoso sui server interessati senza doversi autenticare.
Sono ora disponibili aggiornamenti di sicurezza; l'UFCS raccomanda di aggiornare senza indugio e immediatamente i sistemi interessati. Oltre ai server web vanno controllati anche le applicazioni e i dispositivi che utilizzano PHP come componente integrato.
L'Agenzia federale tedesca per la sicurezza della tecnologia dell'informazione (BSI) classifica il rischio come "3 / Arancione", ovvero "estremamente elevato". Come riporta l'agenzia DPA, l'autorità ha chiarito quanto sia grave la situazione qualora non fosse possibile installare immediatamente gli aggiornamenti di sicurezza. Diversi Stati federali tedeschi, Comuni e autorità hanno quindi seguito la raccomandazione del BSI e hanno temporaneamente disattivato i propri servizi online per non offrire alcun punto debole agli hacker. Anche le università e gli ospedali hanno reagito di conseguenza.
Pure i siti Internet di tutte le prefetture francesi, fra cui quella di Parigi, sono inaccessibili da questo pomeriggio su domanda dell'Anssi, l'agenzia francese di sicurezza dei sistemi informatici, in seguito alla "scoperta di una vulnerabilità critica di sicurezza". Il ministero dell'interno ha spiegato di aver "messo in manutenzione preventiva tutti i siti" delle prefetture esposte a tale vulnerabilità della sicurezza, annunciata alcune ore fa dall'editore "di una componente software ampiamente utilizzata in tutto il mondo".
Anche la National Security Agency (NSA) americana ha esortato le organizzazioni ad aggiornare i loro siti web dopo falle alle sicurezza rilevate in PHP, le quali "forniscono spesso un accesso diretto al file system o al database del server". Qualora un "aggiornamento non fosse fattibile si raccomanda alle organizzazioni di mettere offline i propri siti web".
A essere colpito è il diffuso linguaggio di programmazione PHP, su cui si basa gran parte dell'intero Internet: dai semplici blog ai grandi portali di notizie, fino ai complessi negozi online e ai sistemi di gestione dei contenuti come WordPress.
Secondo l'UFCS la verifica di anomalie non deve però limitarsi ai siti web accessibili al pubblico: PHP può anche far parte di interfacce di amministrazione, applicazioni aziendali interne, piattaforme di hosting, container o dispositivi. Tuttavia gli operatori non sempre sono a conoscenza del fatto che il prodotto utilizzi PHP in background.
