Numerosi siti e applicazioni in tutto il mondo sono stati disattivati giovedì per consentire agli sviluppatori di correggere vulnerabilità critiche nel linguaggio PHP, individuate con l’intelligenza artificiale. Le sospensioni hanno interessato servizi diversi, dal sito della polizia parigina a un’applicazione di Pokemon per monitorare il sonno.
Creato nei primi anni Novanta, il linguaggio contribuisce al funzionamento di circa il 70% dei siti mondiali. Il nome indicava originariamente una pagina personale. PHP è alla base di diffuse piattaforme per la realizzazione di siti: le vulnerabilità potrebbero quindi consentire agli aggressori di accedere tanto ai negozi in rete quanto ai servizi pubblici.
Una correzione è stata pubblicata mercoledì. La PHP Foundation ha rivolto un avvertimento ai reparti informatici di aziende e organizzazioni: «Se utilizzate PHP, è imperativo aggiornare subito».
La scoperta durante le verifiche del codice
Le falle di PHP sono state individuate in agosto da Wiz e altri gruppi usando modelli avanzati di intelligenza artificiale, fra cui quelli dei colossi statunitensi OpenAI e Google. La scoperta è rimasta riservata durante lo sviluppo della correzione.
La società di sicurezza Wiz Research ha definito PHP «una struttura portante del web» e ha dichiarato di aver usato l’intelligenza artificiale per trovare vulnerabilità rimaste nascoste per oltre un decennio. Separatamente da Wiz, anche la società di sicurezza Calif ha trovato le falle durante una verifica del codice finanziata da OpenAI.
OpenAI le ha descritte come «una delle vulnerabilità di maggiore impatto degli ultimi tempi», aggiungendo che la scoperta «segna una nuova fase, nella quale l’intelligenza artificiale può trovare errori di sicurezza con un impatto su scala dell’intera rete».
La rapidità con cui queste informazioni possono essere sfruttate spiega l’urgenza degli interventi. «Il problema con strumenti come l’intelligenza artificiale è che, nel momento in cui tutte le informazioni sono disponibili, le persone possono trasformarle in strumenti d’attacco molto, molto rapidamente», ha dichiarato ad AFP Steve Kerrison, docente di sicurezza informatica nel campus di Singapore della James Cook University. «È per questo che tutti stanno agendo con tanta urgenza per rispondere a questo problema».
Le sospensioni non provano un’intrusione
La disattivazione di un servizio non dimostra che sia stato violato. «Mettere i siti fuori linea non significa necessariamente che siano stati attaccati. Può essere una misura responsabile per proteggere i sistemi durante l’applicazione degli aggiornamenti di sicurezza», ha spiegato Dimitrios Salampasis, della Swinburne University of Technology in Australia.
Secondo Kerrison, finora «i riscontri che i ricercatori di sicurezza stanno osservando indicano che nessuno stava conducendo attivamente attacchi utilizzando le tecniche disponibili».
Le grandi istituzioni, dalle agenzie governative agli organi d’informazione, dovrebbero riuscire a correggere i propri siti relativamente in fretta. Altri potrebbero rimanere esposti. «Ci sono siti, sistemi e persone che non ne hanno idea e continueranno a non saperne nulla per giorni, settimane e mesi», ha avvertito Kerrison. Tra questi potrebbero esserci diari personali in rete utilizzabili per diffondere virus informatici, messaggi indesiderati o contenuti dannosi.
I rischi per i dati e i servizi esterni
Una violazione dei dati potrebbe avere conseguenze successive per i clienti: le informazioni personali sottratte potrebbero essere impiegate in tentativi di truffa volti a indurli a rivelare la password di un servizio in rete.
La complessità dei sistemi interconnessi, che spesso utilizzano interfacce di terzi, potrebbe inoltre lasciare aperte alcune vulnerabilità anche dopo la correzione. Se i fornitori esterni usano PHP, «allora, anche se avete applicato la correzione ai vostri sistemi… non siete ancora al sicuro», ha osservato Rahat Masood, docente di sicurezza informatica alla University of New South Wales, a Sydney.
PHP non esaurisce però gli aspetti da proteggere: secondo Kerrison, una solida sicurezza informatica deve comprendere più livelli di difesa.
Fonte: AP/ANSA