Mercoledì pomeriggio PHP, il linguaggio che fa funzionare WordPress e circa sette siti su dieci nel mondo, ha rilasciato un aggiornamento d’emergenza per due falle gravissime, scovate con l’aiuto dell’intelligenza artificiale.
Permettono a chiunque, senza nessuna password, di prendere il controllo del computer su cui gira un sito. Gli attacchi sono già cominciati: chi ha un sito deve verificare oggi di essere aggiornato.
In un Paese di piccole imprese come San Marino, quanti siti sono stati fatti anni fa e mai più toccati? Ecco perché questa non è una notizia per addetti ai lavori.
Come è andata
Martedì mattina, su un forum di programmatori, compare un messaggio: stanno per essere rese pubbliche due falle critiche in PHP. Il post sparisce in fretta, ma gli screenshot fanno il giro del web. Gli esperti confermano che è tutto vero. PHP allora anticipa la correzione di un giorno: mercoledì, ore 16 italiane.
Nel frattempo l’Olanda spegne per precauzione DigiD, l’identità digitale con cui i cittadini accedono ai servizi pubblici. Cloudflare, una delle aziende che proteggono buona parte del web, vede arrivare i primi attacchi prima ancora che la correzione sia disponibile. E Amazon scopre di aver registrato un tentativo già il 17 ottobre, quattro giorni prima che la falla venisse annunciata.
Perché riguarda anche il vostro sito
PHP non è un programma che si installa sul telefono. È il motore sotto il cofano: il sito lo usa senza che nessuno lo veda. Potete avere un sito curato, plugin aggiornati e password a prova di bomba: se il motore è vecchio, la porta resta aperta. I ricercatori hanno dimostrato l’attacco su WordPress, Drupal e Joomla, ma funziona anche su una pagina banale.
C’è di peggio. In alcuni casi chi attacca può leggere pezzi della memoria del server, dove passano password e chiavi di accesso. E il difetto non è nuovo: riguarda tutte le versioni di PHP uscite negli ultimi dieci anni e oltre.
Cosa fare, in pratica
Primo: sapere chi ha in mano il sito. Sembra banale, non lo è. Il sito fatto dal cugino nel 2017, l’agenzia che non risponde più, l’hosting intestato a un ex socio: i guai si nascondono lì. Oggi va mandato un messaggio al fornitore con una domanda sola: avete aggiornato PHP, e a quale versione?
Secondo: controllare il numero. Le versioni che chiudono la falla sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35, o successive. Su WordPress si trova in Strumenti, Salute del sito, Info, Server. Se il numero comincia per 5 o per 7, o è sotto l’8.2, l’aggiornamento ufficiale non arriverà: bisogna passare a una versione nuova. Prima conviene fare una copia di sicurezza, perché i siti vecchi a volte si rompono nel passaggio. E attenzione: molti pannelli di hosting lasciano scegliere la versione. Se anni fa qualcuno ha scelto quella vecchia, è ancora lì.
Terzo: se non si può aggiornare subito, le agenzie di sicurezza informatica di Stati Uniti e Regno Unito sono state chiare: meglio spegnere il sito finché non è sistemato. Esistono accorgimenti tecnici che riducono il rischio, ma lo dice lo stesso PHP: l’unica vera soluzione è aggiornare. Un giorno offline costa meno di un server in mano a sconosciuti.
Quarto: dopo l’aggiornamento, cambiare le password importanti legate al sito. Se la memoria del server poteva essere letta, non è paranoia. È igiene.
Perché ne vedremo sempre di più
Il punto, però, non è questa falla. È come è stata trovata. Il codice difettoso era lì da più di dieci anni, sotto gli occhi di tutti. Trasformarlo in un attacco funzionante era un lavoro al limite di quello che un essere umano riesce a fare. I ricercatori di Wiz, che l’hanno scoperta, raccontano che con l’intelligenza artificiale una sola persona ha fatto in una settimana quello che prima avrebbe richiesto mesi a una squadra di fuoriclasse.
A luglio era toccato a WordPress. Un ricercatore ha messo un’intelligenza artificiale al lavoro per una decina di ore e ha trovato una falla gravissima. Costo dell’operazione: circa 25 dollari.
Tradotto: trovare buchi costa sempre meno e richiede sempre meno talento.
Vale per chi difende, e vale per chi attacca.
Quando esce una correzione, chi attacca confronta il codice vecchio con quello nuovo e capisce dove colpire. Con l’intelligenza artificiale quel lavoro si fa in ore: c’era chi prevedeva attacchi di massa entro un quarto d’ora dal rilascio. Il margine tra la toppa e l’attacco, una volta, si misurava in giorni. Oggi si misura in ore.
Per anni il sito è stato una cosa da fare una volta e dimenticare, come l’insegna sopra la porta. Quel tempo è finito. Oggi un sito somiglia più a un’auto: va portato a fare il tagliando, e qualcuno deve avere le chiavi.
Se non sapete chi è il vostro tecnico, il problema è già quello.
Osservatorio Strategic.sm
——
Se il tecnico non c’è, ci siamo noi. Strategic è a disposizione di chi vuole controllare il proprio sito, aggiornarlo senza romperlo e capire se qualcuno ci è già entrato.
Basta scriverci da strategic.sm.
