Falle in PHP, milioni di tentativi d’attacco: cosa deve fare chi gestisce siti in Svizzera

Due falle critiche nel diffuso linguaggio di programmazione PHP hanno portato mercoledì 21 ottobre alla disattivazione precauzionale di numerosi siti nel mondo. In Svizzera sono stati interessati, fra gli altri, il Cantone di Basilea Città, l’Università di Ginevra e il Politecnico federale di Losanna. Gli aggiornamenti di sicurezza sono disponibili da mercoledì pomeriggio. Per chi gestisce un proprio server web, intervenire rapidamente è decisivo: i tentativi di sfruttare le vulnerabilità si contano già a milioni.

Giovedì mattina diversi siti di istituti di formazione, imprese e autorità erano ancora irraggiungibili. La maggior parte dei servizi svizzeri citati era invece tornata online. Una disattivazione precauzionale non significa che un attacco sia riuscito: serve anzitutto a evitare che un server non protetto resti accessibile da Internet.

Perché queste falle sono così pericolose

PHP opera sui server web ed è utilizzato per realizzare siti dinamici. È alla base di applicazioni come WordPress, Drupal e MediaWiki, il software impiegato da Wikipedia. Si stima che oltre il 60 per cento dei siti abbia, in qualche forma, a che fare con PHP. Questa diffusione spiega la portata dell’allarme, ma non significa che altrettanti siti siano già stati attaccati o compromessi.

Le due vulnerabilità consentono agli aggressori di eseguire codice dannoso sui server interessati, a distanza e senza autenticarsi. Nel peggiore dei casi possono prendere il controllo del server e dei siti ospitati. Il rischio non riguarda soltanto le interruzioni del servizio: potrebbero essere sottratti dati dei clienti oppure cifrati dati per chiedere un riscatto.

Gli errori erano rimasti inosservati per anni. Il progetto PHP ne era a conoscenza da agosto e stava preparando gli aggiornamenti. Le vulnerabilità avrebbero dovuto restare segrete fino alla pubblicazione delle correzioni, per non dare un vantaggio agli aggressori. Già alcune ore prima, però, circolavano indicazioni sulle falle e sui modi per sfruttarle.

I tentativi registrati dal fornitore di servizi cloud Cloudflare mostrano quanto rapidamente il pericolo sia aumentato. Nelle circa dieci ore precedenti l’annuncio pubblico, l’azienda ne aveva osservati migliaia. Nei primi 45 minuti successivi erano diventati decine di migliaia, entro due ore centinaia di migliaia e in seguito milioni. Sono tentativi d’attacco, non intrusioni riuscite e accertate.

I controlli da fare subito in Svizzera

L’Ufficio federale della cibersicurezza ha invitato chi gestisce siti, negozi online e piattaforme aziendali digitali ad agire immediatamente. Il primo passo è un inventario: dove viene utilizzato PHP, quale versione è installata, quali sistemi sono accessibili da Internet e chi è responsabile del loro funzionamento? Occorre considerare anche i componenti integrati e le applicazioni gestite esternamente.

Gli aggiornamenti di sicurezza, disponibili da mercoledì alle 16, devono essere installati senza indugio. Questo, però, non conclude automaticamente il lavoro. In seguito vanno riavviati i servizi PHP interessati e i processi che rimangono costantemente in esecuzione. Per le applicazioni in container può essere necessario ricostruire e ridistribuire questi ultimi.

I responsabili devono poi verificare che l’applicazione effettivamente in funzione utilizzi la versione corretta di PHP, oppure un pacchetto per il quale il fornitore abbia confermato la correzione. Scaricare un aggiornamento non protegge un servizio che continua a funzionare con il vecchio software.

Sono particolarmente problematiche le versioni meno recenti di PHP, non più supportate ufficialmente: per queste non sono disponibili i relativi aggiornamenti. I sistemi vanno isolati o scollegati dalla rete fino al passaggio a una versione attuale, supportata e corretta. Per i siti rimasti invariati a lungo, quindi, può servire ben più di un singolo aggiornamento.

Fornitore di hosting o server proprio: chi interviene?

Per associazioni, privati e imprese in Svizzera, il lavoro immediato dipende molto dal modello di gestione. Molti affittano spazio presso un fornitore di hosting per il proprio sito WordPress o altre applicazioni. In questi casi, aggiornare l’ambiente server sottostante spetta generalmente al fornitore. In caso di dubbi, è opportuno consultarne le informazioni sullo stato dei servizi oppure chiedere una conferma esplicita della correzione.

Chi dispone invece di un proprio server deve provvedere all’aggiornamento di PHP. Curare i contenuti di WordPress e mettere in sicurezza l’ambiente server sono compiti distinti. Non conta dunque soltanto quale sistema di gestione dei contenuti utilizzi il sito, ma anche chi si occupi della manutenzione dell’infrastruttura tecnica.

Qualunque sia il modello, un aggiornamento chiude la falla ma non rimedia a un’intrusione già avvenuta. I responsabili devono esaminare registri e sistemi alla ricerca di richieste insolite, arresti anomali, file modificati e processi inattesi. Il controllo va svolto anche prima della rimessa online. Un server temporaneamente disattivato non è automaticamente privo di software dannoso, se era già stato attaccato.

Cosa cambia per gli utenti e quali sono i prossimi passi

Chi si limita a navigare con uno smartphone o un computer non deve aggiornare il proprio dispositivo a causa di queste falle. Le vulnerabilità riguardano i server dei fornitori, non gli apparecchi dei visitatori. Gli utenti possono comunque subirne conseguenze indirette: servizi irraggiungibili o possibili fughe di dati da piattaforme protette in modo insufficiente.

Nei prossimi giorni sono da attendersi altri attacchi e interruzioni, perché non tutti i gestori possono mettere in sicurezza i sistemi contemporaneamente. Le priorità sono installare gli aggiornamenti, verificarne l’efficacia e accertare eventuali intrusioni precedenti. Per le organizzazioni svizzere con un proprio sito, la domanda centrale è quindi se il gestore responsabile abbia già completato questi lavori.