La PHP Foundation ha riconosciuto che problemi nel processo decisionale e risorse limitate hanno ritardato una correzione di sicurezza di PHP per una vulnerabilità individuata per la prima volta nel 2024. Mercoledì, con il rilascio di patch d’emergenza per due vulnerabilità critiche correlate, enti governativi e altre organizzazioni hanno messo offline i propri siti web a titolo precauzionale.

Punti chiave

  • La fondazione ha definito la risposta tardiva un problema strutturale che coinvolgeva il processo di sicurezza e le risorse.
  • Le vulnerabilità potrebbero consentire ad aggressori non autenticati di eseguire codice sui server interessati.
  • Le organizzazioni del settore crypto hanno valutato la propria esposizione, mentre Coinbase e BitGo hanno dichiarato di non avere sistemi interessati.

Indice

La correzione di sicurezza di PHP bloccata da problemi di compatibilità e personale

Il resoconto della fondazione mette in evidenza come un problema tecnico noto sia rimasto irrisolto per mesi. Nel 2024 gli sviluppatori hanno individuato segnali della vulnerabilità, ma hanno faticato a trovare una soluzione che non compromettesse il vasto ecosistema software basato su PHP, un linguaggio ampiamente utilizzato per siti web e applicazioni web.

In quella fase, gli sviluppatori non avevano individuato una modalità per ottenere l’esecuzione di codice da remoto. Il ristretto gruppo di persone con le competenze necessarie sul motore di PHP aveva anche altri incarichi, e questo ha fatto sì che il lavoro alla correzione si interrompesse e riprendesse ripetutamente, ha dichiarato la fondazione.

La fondazione ha descritto il ritardo come un «problema strutturale», causato sia dal processo decisionale del team di sicurezza sia da risorse insufficienti.

Il problema è diventato una priorità assoluta in materia di sicurezza dopo che la società di sicurezza Calif e OpenAI hanno segnalato indipendentemente lo stesso problema di fondo l’11 agosto. Calif ha dimostrato che era possibile eseguire codice da remoto senza condizioni.

Le chiusure precauzionali si estendono ai servizi pubblici

Il rilascio d’emergenza ha causato interruzioni in diversi Paesi, poiché gli operatori hanno disconnesso i servizi mentre preparavano gli aggiornamenti. I Paesi Bassi hanno chiuso il proprio servizio di identità digitale e il Centro nazionale per la cybersicurezza ha messo offline il proprio sito web.

Valtori, il fornitore IT statale finlandese, ha disconnesso i servizi web pubblici del governo, mentre il Ministero dell’Interno francese ha temporaneamente rimosso dal servizio i siti web delle prefetture. Anche ITZBund, il fornitore IT federale tedesco, ha disattivato diversi siti web.

La Signals Directorate australiana ha dichiarato che cyber.gov.au era tra i siti web governativi interessati dal problema di PHP. La prima ministra giapponese Sanae Takaichi ha esortato gli operatori a prepararsi ad applicare rapidamente le patch e ha affermato che sospendere temporaneamente le funzionalità dei siti web potrebbe ridurre il rischio quando non fosse possibile installare subito gli aggiornamenti.

Anche la Wikimedia Foundation ha messo offline servizi di supporto, tra cui Toolforge e Cloud VPS, con ripercussioni su alcune funzionalità di Wikipedia mercoledì.

Le società crypto valutano la potenziale esposizione

La società di sicurezza blockchain SlowMist ha dichiarato che il suo servizio MistEye ha rilevato impronte digitali dirette di PHP su 793 dei 1.488 domini del settore crypto esaminati. Ha esortato exchange, piattaforme DeFi e fornitori di wallet a verificare la propria esposizione e ad aggiornare i sistemi. I risultati hanno individuato l’uso di PHP, senza confermare che quei domini fossero vulnerabili.

Intersect, l’organizzazione associativa che sostiene lo sviluppo e la governance di Cardano, ha chiuso temporaneamente la propria Area membri mentre valutava una potenziale esposizione.

Jeff Lunglhofer, responsabile della sicurezza di Coinbase, ha dichiarato che la società non aveva trovato prove della presenza di istanze PHP esposte e che stava effettuando verifiche anche presso i fornitori terzi. BitGo ha dichiarato separatamente che la propria piattaforma non era interessata.

Lo stato degli exploit resta distinto dal rischio dimostrato

Nonostante il rischio dimostrato di esecuzione di codice da remoto, il team di sicurezza di PHP ha dichiarato di non aver individuato exploit funzionanti al momento della divulgazione pubblica.

OpenAI ha pubblicato tramite GitHub una skill di Codex per aiutare gli operatori a verificare la presenza di versioni di PHP potenzialmente vulnerabili e a individuare gli aggiornamenti pertinenti.

Conclusione

Le patch d’emergenza affrontano le vulnerabilità immediate, mentre l’ammissione della fondazione mette in luce i problemi di processo che ne hanno ritardato il rilascio. Le chiusure segnalate sono state misure precauzionali, non prove che le organizzazioni interessate fossero state compromesse.

Leggi altre notizie

Altre notizie di FinanceVelix

Avvertenza

Questo articolo di FinanceVelix fornisce informazioni di carattere generale e non costituisce una consulenza finanziaria, d’investimento, legale o fiscale personalizzata. I prezzi di mercato, i tassi d’interesse e le condizioni economiche possono cambiare; gli investimenti comportano un rischio di perdita. I fatti rispecchiano le informazioni disponibili al momento della pubblicazione e potrebbero cambiare. Verificate autonomamente le informazioni importanti e, se necessario, consultate un professionista qualificato. La menzione di un asset, di una società o di un servizio non costituisce un’approvazione.