È l’inizio dell’apocalisse informatica? L’IA accelera gli attacchi e PHP2Shell lancia un nuovo allarme

L'apocalisse cibernetica probabilmente non inizierà come nei film, con tutti i computer spenti insieme. Può iniziare in una maniera molto più banale: un sito web non aggiornato, una vulnerabilità critica e criminali capaci di automatizzare parte del proprio lavoro con l'intelligenza artificiale.

Il 21 ottobre 2026, il team di PHP ha pubblicato aggiornamenti per due falle che possono permettere a un attaccante di eseguire codice su un server senza necessità di password. Le autorità europee hanno chiesto di agire con urgenza. Nel frattempo, recenti ricerche documentano come alcuni cybercriminali utilizzino l'IA per accelerare le ricerche di obiettivi, preparare gli strumenti e eseguire operazioni a scala maggiore.

Siamo di fronte alla fine di Internet? No. Di fronte a un cambiamento preoccupante nelle regole del gioco? Sì, ci sono motivi per prenderlo sul serio. Ma attenzione a mescolare i fatti: non ci sono prove, nelle fonti consultate per questo articolo, che l'IA abbia originato le vulnerabilità PHP2Shell né che tutti gli attacchi contro di esse siano diretti da IA. Non significa inoltre che tutti i siti web con PHP siano stati compromessi.

Che cosa è successo

Le falle, identificate come CVE-2026-109618 e CVE-2026-109619 e note collettivamente come php2shell, sono correlate alla gestione della memoria dell'interprete PHP stesso. In determinate circostanze, una richiesta HTTP preparata da un attaccante può provocare una situazione che permette l'esecuzione di istruzioni non autorizzate, esporre informazioni o interrompere il servizio.

L’avviso ufficiale del progetto PHP identifica come potenzialmente esposte le installazioni che gestiscono richieste web, incluse configurazioni con PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. Il team di sicurezza considera particolarmente grave il rischio in mod_php, per il quale è stata dimostrata una via di sfruttamento prima ancora che venga eseguito il codice dell'applicazione.

Il 21 ottobre la Commissione Europea, ENISA, CERT-EU, Europol e la rete europea dei team di risposta agli incidenti hanno emesso un comunicato congiunto. La loro raccomandazione: identificare dove viene utilizzato PHP, applicare le versioni corrette e dare priorità alle applicazioni accessibili da Internet.

L'IA in mani sbagliate: il fattore che può moltiplicare il problema

Fino a poco tempo fa, preparare una campagna di intrusione su larga scala richiedeva tempo, esperienza e molto lavoro umano. L'IA non elimina queste barriere, ma può ridurre parte dello sforzo: aiutare ad analizzare sistemi esposti, adattare gli strumenti, automatizzare le verifiche e elaborare i dati rubati. Non è un'ipotesi tratta da un film.

Nel suo rapporto sulle minacce di settembre 2026, Anthropic ha documentato operazioni che aveva rilevato e interrotto in cui determinati attaccanti hanno utilizzato modelli di IA per accelerare le attività di reconnaissance, sviluppo degli strumenti e sfruttamento. Il Centro Nazionale per la Sicurezza Cibernetica della Nuova Zelanda, nel suo rapporto sulle minacce del 2026, avverte anche dell'aumento di velocità e scala che l'IA può apportare alle attività malevole.

Questo è importante quando appare una vulnerabilità diffusa come PHP2Shell: la stessa debolezza può essere cercata da attaccanti che automatizzano l'identificazione di possibili obiettivi. Questo rischio generale non dimostra che una campagna specifica su PHP2Shell utilizzi l'IA; è il contesto in cui devono agire aziende e amministratori.

La paradosso è che l'IA aiuta anche i difensori ad analizzare i log, localizzare sistemi non aggiornati e rispondere più rapidamente. La differenza non la segna una presunta intelligenza malvagia, ma chi la utilizza, con quali controlli e quanto tempo impiega ogni organizzazione a correggere le proprie debolezze.

Quali siti web e aziende potrebbero essere coinvolti?

Il problema risiede nell'ambiente di esecuzione PHP, non in un plugin specifico. Per questo possono essere interessati siti web costruiti con WordPress, Magento o altre applicazioni che dipendono da un'installazione vulnerabile di PHP. Aggiornare solo WordPress o le sue estensioni non sostituisce l'aggiornamento dell'interprete PHP.

I principali potenziali interessati sono gli amministratori di siti web, i fornitori di hosting, i negozi online, le agenzie che mantengono pagine per terzi e le organizzazioni con applicazioni interne accessibili da Internet.

Se il tuo sito web utilizza Next.js, React o Node.js senza eseguire PHP sul server, questi due fallimenti non lo interessano direttamente per il semplice fatto di utilizzare quelle tecnologie. Tuttavia, un server può ospitare altresì altre applicazioni o servizi basati su PHP. Bisogna verificare ciò che è realmente installato, non dedurlo solo dall'aspetto della pagina pubblica.

È anche importante comprendere la differenza tra tre cose: un'installazione vulnerabile, un tentativo di attacco e una intrusione confermata. Non sono equivalenti. Il fatto che un'azienda blochi migliaia di richieste malevole non dimostra che abbiano rubato migliaia di database.

Per approfondire la sicurezza del sito, consulta la nostra guida alla protezione di un server Apache e l'analisi separata delle vulnerabilità del core di WordPress. Si tratta di problemi diversi da PHP2Shell e non sostituiscono gli aggiornamenti di sicurezza di PHP.

Cosa fare oggi se gestisci un sito web

1. Verifica se il tuo server esegue PHP. Controllalo dal pannello di hosting o chiedi al fornitore di confermare l'interprete installato su ogni dominio o servizio. Se utilizzi un hosting gestito, non dare per scontato che l'aggiornamento venga applicato automaticamente.
2. Verifica la versione e le correzioni del fornitore. Il progetto PHP ha pubblicato il 21 ottobre le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per correggere entrambi i difetti. Nelle distribuzioni Linux con supporto prolungato potrebbe esistere una correzione incorporata in un pacchetto la cui numerazione apparente sia precedente: chiedi conferma al produttore prima di trarre conclusioni.
3. Priorizza le applicazioni pubbliche. L'ENISA raccomanda di trattare prima i servizi accessibili da Internet. Se non è possibile correggerli immediatamente e il rischio lo giustifica, valuta di restringere temporaneamente l'accesso fino all'applicazione del patch.
4. Mantieni le protezioni di rete, ma non confonderle con una riparazione. Un firewall web (WAF) può bloccare certi tentativi. Cloudflare ha annunciato protezioni specifiche contro php2shell. Tuttavia, sia Cloudflare che PHP insistono sul fatto che l'aggiornamento rimane necessario.
5. Verifica segnali di compromissione e conserva le prove. Cerca attività anomala nei log HTTP e applicativi, cambiamenti inaspettati in file, processi o task, accessi insoliti ed errori inusuali. Nessuno di questi segnali da solo dimostra un'intrusione; né la loro assenza garantisce che non si sia verificato alcun incidente.

Se lavori con una agenzia o fornitore di hosting, una domanda utile e concreta è: «Avete verificato CVE-2026-109618 e CVE-2026-109619 su tutti i servizi PHP che ospitano i miei domini, e potete confermare la versione corretta o il patch equivalente?»

E se navighi solo su Internet?

Non devi installare PHP né cercare queste vulnerabilità sul tuo smartphone per visitare una pagina. Si tratta di un problema dei server che eseguono PHP. Il rischio per un utente appare se un sito web che archivia i suoi dati viene compromesso, qualcosa che dovrà essere confermato caso per caso.

Nel frattempo, mantieni dispositivi e browser aggiornati, evita link che promettono supposte «strumenti d'emergenza» e presta attenzione alle comunicazioni ufficiali dei servizi che utilizzi. Un messaggio allarmante sui social media non è prova che i tuoi dati siano stati filtrati.

Cosa fare se sospetti che il tuo server sia già compromesso

Un aggiornamento corregge la vulnerabilità, ma non elimina necessariamente un'intrusione già prodotta. Se ci sono indizi fondati di accesso non autorizzato, evita di cancellare i log o reinstallare in fretta senza preservare le prove. Isola il sistema interessato secondo il piano di risposta, analizza accessi e possibili dati esposti, revoca o ruota credenziali che potrebbero essere state compromesse e ripristina da un punto verificato se necessario. Se riguarda dati personali, valuta gli obblighi legali di notifica.

In Spagna puoi rivolgerti alle risorse e ai canali di assistenza di INCIBE e, quando opportuno, agli team di risposta agli incidenti competenti. Per le incursioni relative alla protezione dei dati, l'AEPD offre informazioni sulla gestione e notifica delle violazioni.

È questo l'inizio dell'«apocalisse cibernetica»?

Non ci sono prove di un crollo generale di Internet. Ci sono due vulnerabilità gravi in una tecnologia molto diffusa, un panorama delle minacce in cui alcuni criminali già utilizzano IA e organizzazioni che devono correggere i propri server con rapidità. Sono fatti distinti che, insieme, giustificano l'attenzione; non una profezia di collasso.

Se c'è una scena inquietante qui, non è una macchina che si ribella: è la facilità con cui una debolezza nota può rimanere esposta mentre l'attaccante automatizza i task e il responsabile del sito web non ha ancora controllato gli aggiornamenti.

La risposta rimane piuttosto terrena: identificare le installazioni interessate, applicare le correzioni e verificare se ci sono indizi di sfruttamento. La paura vende click; riparare i server evita problemi.

Fonti ufficiali e tecniche consultate (21–22/10/2026)

• PHP Security Team, avviso del 21/10/2026. Versioni corrette, ambito tecnico e misure provvisorie: https://www.php.net/archive/2026.php
• ENISA e organismi dell'UE, comunicato congiunto del 21/10/2026. Rischio di esecuzione remota e priorità di aggiornamento: https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
• Cloudflare, 21/10/2026. Descrizione tecnica e misure WAF: https://blog.cloudflare.com/php-vulnerabilities-waf-protection
• Anthropic, rapporto di intelligence sull'abuso di IA (settembre 2026). Casi documentati di assistenza IA in operazioni malevole: https://www.anthropic.com/threat-intelligence-report-september-2026
• NCSC della Nuova Zelanda, Cyber Threat Report 2026. Valutazione dell'impatto dell'IA su velocità e scala degli attacchi informatici: https://www.ncsc.govt.nz/insights-and-research/cyber-threat-reports/cyber-threat-report-2026/
• INCIBE, canale ufficiale spagnolo: https://www.incibe.es/
• AEPD, autorità spagnola di protezione dei dati: https://www.aepd.es/

Potrebbe interessarti anche

• Allerta sulla vulnerabilità di iniezione SQL in Sequelize che colpisce le applicazioni web
• Microsoft prepara più patch di sicurezza con l’IA
• Vulnerabilità SSRF non autenticata in SeaweedFS consente la falsificazione di richieste lato server