Il Nigeria Computer Emergency Response Team (ngCERT), l'ente governativo ufficiale di cybersecurity del Paese, ha affrontato la più grande crisi dei web server da Log4Shell — la vulnerabilità del 2021 nella onnipresente libreria di logging Java Log4j che impose patch di emergenza in tutta la rete — con un breve post su X: "Patch Now!". Il 21 ottobre 2026, mentre le squadre di emergenza da Washington a Tokyo ordinavano la disattivazione dei sistemi pubblici vulnerabili, l'avviso dell'agenzia era in netto contrasto con la portata di una vulnerabilità che minaccia circa il 70% dei siti web mondiali.

Il post, pubblicato su https://x.com/ngCERTofficial/status/2112987792917840001?s=20, recita: "PHP2SHELL ALERT! Two critical RCE flaws (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2) affect every web server running PHP 5.4+. Both vulnerabilities are exploitable on the default PHP configuration & do not require authentication to trigger. Patch Now!"

Oltre all'invito ad applicare le patch, l'avviso non ha fornito alcun bollettino tecnico, istruzioni di rimedio o applicazione della conformità tra ministeri, dipartimenti e agenzie (MDA) — una risposta che i critici definiscono un esercizio performativo di spunte a casella piuttosto che una governance della cybersecurity.

Le vulnerabilità al centro della tempesta sono due critiche falle di esecuzione di codice remoto nel runtime PHP principale, tracciate come CVE-2026-109618 e CVE-2026-109619 e note widespread come "PHP2Shell". Entrambe presentano una gravità 9.2 sulla scala CVSS v4.0 e interessano ogni versione di PHP dalla 5.4, rilasciata nel 2012, all'8.5.11. Poiché i difetti risiedono nelle routine di pulizia della memoria e di gestione degli errori di PHP, un attaccante non autenticato può dirottare un server esposto a Internet con configurazioni predefinite prima ancora che il codice applicativo del sito o i plugin di sicurezza vengano caricati. È proprio questa posizione nel runtime condiviso a distinguere PHP2Shell dalle comuni vulnerabilità di plugin o temi: ogni sito ospitato da un server vulnerabile eredita l'esposizione, indipendentemente da quanto attentamente sia stato scritto il proprio codice applicativo.

PHP2Shell non è arrivato dal nulla. Ha chiuso un ottobre inesorabile di violazioni informatiche globali che ha dimostrato quanto rapidamente software di terze parti e infrastrutture obsolete possano rivoltarsi contro i loro proprietari. All'inizio del mese, i ricercatori di Wiz e Calif hanno dimostrato che i modelli AI di frontiera possono comprimere mesi di reverse engineering manuale, militarizzando bug di memoria PHP vecchi di un decennio contro configurazioni standard di WordPress, Drupal e Joomla. Quando l'embargo sulla divulgazione è trapelato in anticipo il 20 ottobre, gli attori delle minacce hanno immediatamente iniziato a scansionare milioni di server in tutto il mondo, costringendo la PHP Foundation a precipitare il rilascio di patch di emergenza il 21 ottobre, mentre il Primo Ministro giapponese esortava pubblicamente le organizzazioni ad aggiornare o disattivare i propri siti. È emerso in seguito che lo sfruttamento era iniziato già il 17 ottobre, giorni prima della fuga di notizie.

La corsa si è sovrapposta ad altre tre onde d'urto globali nell'ottobre 2026. In Giappone, un attacco ransomware al provider cloud IDC Frontier ha messo in ginocchio 495 aziende ed enti locali, esponendo 6,09 milioni di record di clienti presso il solo operatore ferroviario JR East. Separatamente, i threat hunter di Huntress hanno scoperto un compromissione della supply chain coinvolgente le identità SkyKick Cloud Backup di ConnectWise, che ha permesso agli attaccanti di aggirare l'autenticazione a più fattori dei dipendenti e infiltrarsi in 162 ambienti aziendali Microsoft 365. In Francia, attaccanti hanno dirottato la tecnologia operativa che controlla i sistemi di refrigerazione di centinaia di supermercati l'11 e il 12 ottobre, portando le temperature a 50°C e costringendo i rivenditori a gettare tonnellate di cibo deperito.

La velocità delle divulgazioni di PHP2Shell ha inoltre imposto diffusi arresti di emergenza nei trasporti e nei settori pubblici globali, producendo sospensioni critiche che hanno interessato aviazione, banking e reti ferroviarie da Tokyo a Helsinki. Nel Regno Unito, il National Cyber Security Centre (NCSC) ha emesso avvisi urgenti mentre la crisi si sviluppava, e le autorità hanno adottato misure proattive che hanno temporaneamente reso offline 32 servizi governativi e parzialmente limitati altri quattro, mentre venivano applicate patch di emergenza e mitigazioni.

Più vicina a casa, la sudafricana Ampath Laboratories è stata colpita dal gruppo ransomware BytetoBreach, che ha rivendicato l'esfiltrazione di 80 milioni di record di pazienti.

Contro questo scenario globale, il contrasto tra la posizione della Nigeria e quella dei suoi vicini regionali è evidente. Secondo la National Information Technology Development Agency (NITDA), la Nigeria perde già almeno 500 milioni di dollari l'anno a causa della criminalità informatica, e i portali statali, inclusi quelli della Corporate Affairs Commission e della Independent National Electoral Commission (INEC), hanno subito ripetute accuse pubbliche di violazioni dei dati. Eppure ngCERT ha trattato una minaccia att e non autenticata di takeover dei server come un normale annuncio di pubbliche relazioni. Un post sui social media non ha alcun valore legale: non fissa scadenze per i direttori IT federali o statali, non fornisce regole di configurazione compensative per i server legacy e non richiede responsabilità alle aziende locali di web hosting che alimentano migliaia di piccole e medie imprese nigeriane.

Il Kenya ha agito diversamente. Il 21 ottobre, il Dipartimento di Stato per l'ICT e l'Economia Digitale, in collaborazione con l'ICT Authority, ha emesso una direttiva formale e vincolante verso tutti gli enti governativi. Nairobi non si è limitata a chiedere alle agenzie di applicare le patch: ha ordinato agli MDA di verificare le applicazioni cloud e hosted di terze parti, limitare l'accesso esterno o disattivare immediatamente i portali non aggiornabili, e documentare ogni azione correttiva per l'ispezione dell'ICT Authority.

Il Ghana ha eguagliato tale serietà con un rigoroso orologio di conformità. Il 22 ottobre, la Cyber Security Authority (CSA) e la National Information Technology Agency (NITA) hanno congiuntamente istruito tutte le istituzioni pubbliche a inventariare le distribuzioni PHP, applicare gli aggiornamenti di emergenza e presentare rapporti formali di rimedio entro sette giorni. Il Sudafrica, al contrario, ha altresì inciampato, mancando l'emissione di una direttiva nazionale CERT di rilievo nonostante migliaia di server locali esposti. Kenya e Ghana hanno dimostrato che una difesa informatica efficace richiede scadenze applicabili e supervisione dei fornitori, non slogan sui social media. I prossimi punti di controllo sono chiari: se ngCERT farà seguire al suo unico post su X un bollettino tecnico con scadenze applicabili, e cosa riveleranno i rapporti di rimedio di sette giorni del Ghana sull'esposizione PHP all'interno delle istituzioni pubbliche.

Quando l'applicazione delle regole resta indietro, i team tecnici locali e gli utenti comuni portano il peso della sopravvivenza. Attingendo alle indicazioni tecniche del PHP Group, Qualys, Armis e Google Cloud, ecco cosa imprese e cittadini nigeriani dovrebbero fare immediatamente:

Per aziende e amministratori di sistema

• Applicare immediatamente le patch ai runtime supportati: Aggiornare tutti gli ambienti PHP 8.2+ alle versioni corrette (8.5.12, 8.4.27, 8.3.36 o 8.2.35) e riavviare il servizio PHP-FPM o Apache affinché i nuovi binari prendano effetto in memoria.
• Colmare il punto cieco del fine vita: Le patch ufficiali non coprono PHP 8.1, 8.0 o 7.x, giunti a fine vita. Le aziende legate a hosting cPanel legacy devono migrare immediatamente a PHP 8.2+ o passare a backport irrobustiti di distribuzioni Linux e immagini container. Il solo aggiornamento di temi o plugin WordPress non arresterà questo exploit.
• Applicare mitigazioni a livello di configurazione: Dove il patching immediato non è possibile, Qualys e Armis raccomandano di disabilitare il tracker di avanzamento upload integrato di PHP, che rimuove un principale percorso di exploit senza compromettere la funzionalità del sito, e di imporre rigorosi limiti alla dimensione del corpo delle richieste e regole di upload file sui Web Application Firewall (WAF) come Cloudflare o Google Cloud Armour.
• Verificare i log dei server e le chiavi API: Poiché lo sfruttamento è iniziato già il 17 ottobre, i team devono esaminare i log dei web server per rilevare crash anomali per esaurimento della memoria e ruotare le credenziali dei database e le chiavi dei gateway di pagamento (come webhook Paystack, Flutterwave o Monnify) memorizzate su server PHP esposti a Internet.

Per i cittadini privati e utenti comuni

Un portale di e-commerce o governativo compromesso che esegue PHP non aggiornato consente agli attaccanti di raccogliere password in chiaro mentre vengono digitate. Non riutilizzare mai la password della tua email o app bancaria su siti di acquisto locali, portali scolastici o registri statali.

Poiché il takeover dei web server consente agli attaccanti di manomettere silenziosamente le pagine di checkout, evita di salvare i dati della carta di debito principale su siti di piccoli commercianti. Usa carte virtuali monouso o opzioni di bonifico al checkout con limiti giornalieri di spesa rigorosi.

Quando gli attaccanti dirottano un server web aziendale o governativo legittimo, acquisiscono la capacità di inviare email di phishing da nomi di dominio autentici. Verifica qualsiasi richiesta di pagamento urgente, avviso fiscale o prompt di aggiornamento BVN/NIN tramite un canale indipendente prima di cliccare i link.

Approfondimento correlato: L'accordo segreto della Nigeria con Meta mostra un regime di protezione dei dati segnato da un'evidente doppio standard

La cybersecurity nell'era dell'AI non lascia spazio alla burocrazia passiva. Finché Abuja non sostituirà l'esercizio performativo di spunte a casella con mandati di conformità verificati su tutta l'infrastruttura pubblica e privata, imprese e cittadini nigeriani dovranno essere i propri primi soccorritori.