Germania offline per la falla PHP2Shell, il BSI alza il livello di allerta

21/10/2026 ECONOMIA Condividi Preferisci Informazione.News su Google

Redazione Economia   -   Diversi Stati federali tedeschi, Comuni e autorità hanno temporaneamente disattivato i propri servizi online dopo la scoperta di due vulnerabilità critiche nel linguaggio di programmazione PHP, note con il nome collettivo di PHP2Shell. L'Agenzia federale tedesca per la sicurezza della tecnologia dell'informazione, il BSI, ha classificato il rischio con il livello «3 / Arancione», ovvero «estremamente elevato», chiarendo che senza un'installazione immediata degli aggiornamenti di sicurezza la situazione resta grave.

Le falle e il meccanismo di attacco

Le vulnerabilità identificate come CVE-2026-109618 e CVE-2026-109619 raggiungono entrambe 9,2 su 10 nella scala CVSS, il sistema che misura la gravità delle falle informatiche. La prima, di tipo Use After Free, nasce da una gestione non adeguata delle condizioni di esaurimento della memoria, quando PHP ricorre alla funzione longjmp() per interrompere l'elaborazione delle richieste.

In termini pratici, un aggressore remoto può inviare richieste HTTP artigianali in grado di corrompere lo stato del processo lavorativo del server web e, in determinate condizioni, eseguire codice arbitrario con i privilegi dell'utente che gestisce il servizio, spesso www-data. Esiste anche un percorso distinto che consente la lettura di memoria viva del processo, esponendo password, token e chiavi API senza bisogno di eseguire codice.

La reazione delle istituzioni tedesche

La raccomandazione del BSI è stata seguita da un numero considerevole di enti pubblici. Oltre a numerosi Comuni, hanno sospeso l'accesso esterno ai propri portali università e ospedali, tra cui la Charité di Berlino. La città di Magonza ha disattivato in via precauzionale il portale principale e diversi servizi comunali, mantenendo però raggiungibili gli uffici via telefono e posta elettronica e confermando gli appuntamenti già fissati.

Analoghe misure sono state adottate in Renania-Palatinato da amministrazioni locali e atenei, con alcuni siti ripristinati dopo l'applicazione delle patch. Il BSI ha esplicitamente indicato la separazione temporanea del server web da internet come alternativa praticabile qualora non sia possibile installare subito gli aggiornamenti.

L'allarme della NSA e la diffusione di PHP

Sulla stessa vicenda è intervenuta la National Security Agency statunitense, che ha invitato le organizzazioni a mettere in sicurezza i propri siti web, sottolineando come le falle «forniscono spesso un accesso diretto al file system o al database del server». La portata del problema dipende dalla diffusione capillare dell'interprete: secondo stime di settore, PHP alimenta circa il 70 per cento dei siti web a livello globale, e solo la piattaforma WordPress, costruita su PHP, gestisce tra 400 e 500 milioni di siti nel mondo.

La Fondazione PHP ha pubblicato gli aggiornamenti correttivi il 21 ottobre 2026, ma una quota rilevante delle installazioni esposte su internet gira ancora su versioni giunte a fine ciclo di supporto, che non ricevono più patch ufficiali e richiedono un passaggio a rami supportati oppure la rimozione dalla rete.

Chi rischia e cosa cambia per gli utenti

Le vulnerabilità riguardano i server che eseguono PHP, non i dispositivi degli utenti finali, i quali non devono adottare contromisure specifiche sui propri smartphone o computer. L'impatto indiretto può comunque farsi sentire attraverso l'indisponibilità temporanea di servizi online o la possibile sottrazione di dati personali da siti non aggiornati in tempo.

Per gli amministratori di sistema la priorità resta l'installazione immediata delle patch rilasciate dal progetto PHP, mentre per le infrastrutture non aggiornabili a breve termine la disconnessione dalla rete pubblica rappresenta l'unica misura in grado di prevenire una compromissione.