TOKYO/PECHINO/AMSTERDAM — Aziende e governi di tutto il mondo hanno corsi ai ripari giovedì per correggere vulnerabilità critiche in PHP, il linguaggio di programmazione decennale su cui si basa gran parte di Internet, dopo che i provider cloud hanno segnalato un'impennata dei tentativi di attacco informatico successiva alla divulgazione pubblica delle falle.

La risposta d'emergenza è iniziata dopo che i governi in Europa e altrove hanno messo offline i siti web per precauzione mercoledì, mentre gli operatori si affrettavano a mettere in sicurezza i sistemi che eseguono il diffusissimo software.

Gli arresti di servizi bancari, aerei, ferroviari, fiscali e governativi da Tokyo a Helsinki hanno rappresentato una delle prove più drammatiche degli strumenti che tengono in vita il web, rivelando quanto profondamente governi e aziende dipendano da codice che poche persone comprendono appieno.

«Non vedevano una cosa del genere da tantissimo tempo», ha dichiarato giovedì il CEO di Microsoft Satya Nadella in occasione di un evento in Germania, aggiungendo che l'incidente ha sottolineato l'importanza di costruire software che possano essere mantenuti in sicurezza man mano che i sistemi diventano più complessi. «È stata una lunga giornata e una lunga notte, lo so, per tutto il personale IT e di sicurezza.»

PHP: elemento chiave delle fondamenta di Internet

Gli sviluppatori di PHP — un linguaggio di programmazione al pari di HTML e Python — hanno rilasciato mercoledì le correzioni per vulnerabilità presenti nel software da anni, finché non sono state scoperte grazie all'intelligenza artificiale. Hanno invitato gli utenti ad «aggiornare immediatamente». Il linguaggio è alla base dei server web per la generazione di pagine dinamiche e applicazioni, quindi una falla nel suo codice centrale può potenzialmente interessare qualsiasi sito o servizio realizzato con esso.

Madeline Lawrence, cofondatrice dell'azienda di cybersecurity belga Aikido Security, ha affermato che i dettagli delle falle erano diventati pubblici prima che le correzioni fossero pronte, e che da allora sono stati segnalati attacchi.

«Le aziende corrono per aggiornarsi contro attaccanti che possono usare l'IA per sfruttarle. È tutta qui la corsa», ha detto.

Mentre le organizzazioni distribuivano le patch e sospendevano i siti web per precauzione, i tentativi di attacco sono schizzati a milioni, secondo le aziende di servizi cloud Cloudflare e Amazon.

«Nelle 10 ore prima dell'annuncio pubblico, in tutta la rete abbiamo visto migliaia di tentativi di sfruttamento», ha scritto il CEO di Cloudflare Matthew Prince in un post su X mercoledì sera.È passato a decine di migliaia nei 45 minuti successivi all'annuncio, a centinaia di migliaia entro 2 ore, e ora sono milioni.»

Anche Amazon ha dichiarato di aver osservato uno sfruttamento diffuso. L'escalation descritta da Prince illustra la finestra segnalata da Lawrence: tra la divulgazione pubblica e il completamento delle patch, i sistemi che eseguono ancora codice vulnerabile restano esposti.

Impatto dal Giappone alla Finlandia

Aziende giapponesi tra cui la società di intermediazione Nomura, il gruppo bancario Mitsubishi UFJ Financial Group, la compagnia aerea ANA e East Japan Railway hanno dichiarato giovedì di aver temporaneamente sospeso alcuni servizi internet nell'ambito di misure di emergenza.

Il birrificio Asahi Group Holdings ha temporaneamente sospeso alcuni siti web e sistemi procedendo a una valutazione d'impatto sulla sicurezza, e l'assicuratore Tokio Marine Holdings ha detto di aver sospeso il sito web di gruppo.

Il Ministero delle Finanze e l'Agenzia Meteorologica giapponesi hanno parzialmente sospeso i servizi online per attuare misure di sicurezza, mentre l'Agenzia delle Entrate nazionale ha temporaneamente disattivato il proprio servizio.

Gli arresti precauzionali riflettono la crescente preoccupazione del Giappone per la cybersecurity. Il Paese ha registrato più incidenti informatici nei primi nove mesi di quest'anno che in tutto l'anno scorso, secondo i dati di TrendAI.

Altrove, il gruppo di telecomunicazioni francese Orange ha dichiarato di aver temporaneamente sospeso l'accesso ad alcuni siti web e applicazioni basati su PHP in diverse filiali per precauzione. Tencent Cloud, uno dei maggiori provider di cloud computing cinesi, ha invitato i clienti a installare versioni aggiornate di PHP, fermandosi però dal raccomandare arresti diffusi dei siti web.

Il provider di servizi IT statale finlandese Valtori ha dichiarato di aver continuato durante la notte a installare le patch di sicurezza per PHP e di star progressivamente rimuovendo i blocchi precauzionali dei servizi, dopo aver chiuso il giorno prima i servizi web pubblici del governo.

«Il ripristino dei servizi può richiedere giorni o persino settimane, perché oltre agli aggiornamenti i sistemi devono essere testati con attenzione», ha affermato in una dichiarazione il direttore generale di Valtori Hannu Naumanen.

Valtori ha precisato che le interruzioni non sono state causate dallo sfruttamento delle vulnerabilità né da una violazione informatica, e di non essere a conoscenza di alcuno sfruttamento attivo delle falle.

Alcune correzioni potrebbero richiedere settimane

Diversi governi asiatici hanno ordinato giovedì ispezioni di cybersecurity legate alle vulnerabilità di PHP. Il ministero dell'industria cinese ha esortato organizzazioni e utenti a ispezionare i sistemi e ad aggiornare all'ultima versione sicura di PHP, raccomandando inoltre di rafforzare il monitoraggio della sicurezza informatica e di modificare account, password e chiavi ove necessario.

La Corea del Sud ha innalzato il livello di allerta cybersecurity per il settore privato e attivato misure di risposta d'emergenza, citando preoccupazioni per un rischio crescente di attacchi informatici.

In Germania, Felix Kuhlenkamp, responsabile della sicurezza dell'associazione di settore digitale Bitkom, ha detto che molti dei grandi operatori avevano già eseguito gli aggiornamenti, ma che i sistemi IT complessi e le organizzazioni più piccole potrebbero richiedere più tempo.

«Può darsi che gestiscano un sito web in PHP senza davvero seguirlo da vicino», ha detto. «Se un sito web si basa su una vecchia versione di PHP per la quale non esiste un aggiornamento di sicurezza, l'intero sistema deve essere aggiornato.»

Da qui in avanti, i segnali più chiari di come si evolverà l'episodio saranno se i tentativ di sfruttamento si manterranno ai volumi riportati dai provider cloud e con quale rapidità torneranno online i servizi sospesi al completamento di aggiornamenti e test.

— Reuters

Fonte: BusinessWorld