Binadit · 3 novembre 2026

Le cose sono andate bene per anni, finché l’intelligenza artificiale non ha iniziato a indagare sul motivo per cui le vecchie perdite rappresentano ora un rischio per la tua azienda

La perdita di PHP è rimasta lì per circa 14 anni. Una perdita in Linux 9 anni. Per tutto il tempo, il software continuava a girare e tutto sembrava andare bene. Fino a quando l'IA non ha reso la ricerca degli errori molto più veloce. Questo cambia un assunto fisso di molti imprenditori: ciò che è andato bene per molto tempo non continua ad andare bene da solo.

OpenBSD, 27 anni

FFmpeg, 16 anni

PHP, circa 14 anni

Linux, copia non riuscita, 9 anni

Linux, CVE-2026-31695, quasi 5 anni

Vecchi errori stanno tornando a galla

Questo non è un software per hobby sconosciuto. È un software su cui operano aziende, governi e gran parte del web. Migliaia di sviluppatori lo hanno guardato, eppure questi errori si sono protratti per anni.

PHP: 14 anni senza nulla da fare

Le perdite che sono diventate note come PHP2Shell, CVE-2026-109618 e CVE-2026-109619, erano nel codice da PHP 5.4 nel 2012. Una variante limitata era già stata trovata nel 2024, ma all'epoca non era considerata importante. Nell'agosto 2026, i gruppi di ricerca hanno trovato gli errori con l'aiuto dell'intelligenza artificiale. Poi passò in fretta. Nel giro di circa una settimana, ci sono stati attacchi funzionanti su WordPress e Drupal pronti per l'indagine. Il 21 ottobre sono arrivati gli aggiornamenti e Cloudflare ha visto decine di migliaia di tentativi di attacco, poi milioni, in 45 minuti. Palo Alto Networks aveva 22,6 milioni di installazioni potenzialmente vulnerabili. Nei Paesi Bassi, i siti governativi, sanitari e di notizie sono andati temporaneamente offline in previsione delle patch. Andare offline non significa che un sito sia stato violato, spesso è stata una precauzione. Il 22 ottobre, l'NCSC ha dichiarato di non aver ancora visto alcun abuso sui siti web olandesi.

Linux: stesso modello

Copy Fail, CVE-2026-31431, era nel kernel Linux dal 2017 ed è stato trovato con l'aiuto dell'intelligenza artificiale. Ciò consente a un utente ordinario di diventare root sul sistema. CVE-2026-31695 è stato nel kernel per quasi cinque anni e ora è stato segnalato un exploit funzionante. ZcopyReaper, CVE-2026-43502, è in circolazione dal kernel 4.17. Anche gli errori recenti sono più evidenti. Fragnesia, CVE-2026-46300, non è una vecchia perdita ma è arrivata tramite una patch precedente. È nella lista degli abusi attivi del CISA dal 28 ottobre. Lì è collegato a PHP2Shell: prima attraverso il sito web, poi il pieno controllo sul server.

Questo è solo l'inizio

L'intelligenza artificiale non solo rende i ricercatori più veloci, ma anche gli aggressori. OpenAI stessa riconosce che le stesse funzionalità possono aiutare gli aggressori a creare rapidamente strumenti di attacco. Il NCSC britannico ha già avvertito a maggio di un'ondata di aggiornamenti urgenti in tutti i tipi di software, inclusi open source e SaaS. Nessuno sa quale sarà il prossimo software. Tuttavia, è chiaro che c'è ancora molto vecchio codice che non è mai stato esaminato nel modo più approfondito possibile ora. Quindi conta su più di questo tipo di settimane.

Cosa significa questo per te come imprenditore

Forse pensi: il mio sito web funziona da dieci anni senza problemi. Questo è ciò che molto del web ha detto su PHP. Una perdita può significare che i dati dei clienti sono per strada, che il tuo negozio online o la tua applicazione non funzionano o che gli aggressori distruggono il tuo server. Seguono domande da parte dei clienti, costi di riparazione, mancate vendite e talvolta un rapporto all'autorità di regolamentazione. Il danno reputazionale spesso inizia con un messaggio di un cliente: cosa è successo ai miei dati? Gli aggressori non devono scegliere te. A PHP2Shell, i tentativi sono andati a milioni. Quindi non sei un bersaglio perché sei alto, ma perché sei online.

Il tuo codice e il tuo server sono due problemi diversi

È possibile correggere le perdite in PHP e Linux sul server. Gli errori nel tuo sito web o nella tua applicazione sono nel tuo codice: un modulo che non controlla l'input, una pagina senza autorizzazione, una chiave nel repository. Nessun aggiornamento da un fornitore risolverà il problema. Non importa chi ha scritto il codice. Che abbia dieci anni o sia stato realizzato la scorsa settimana, un utente malintenzionato sta solo controllando se funziona.

Quanto può costare una fuga di notizie

In caso di sicurezza insufficiente, l'Autorità olandese per la protezione dei dati può imporre una sanzione pecuniaria. Ai sensi dell'articolo 83 del GDPR, può ammontare a 10 milioni di euro o al 2% del fatturato annuo globale, a seconda di quale sia superiore. Nel dicembre 2025, gli HAN sono stati multati di €175.000. Un utente malintenzionato aveva abusato di una perdita in una forma web nel 2021. L'AP ha quindi esaminato la sicurezza, come diritti eccessivi, registrazione limitata e password scarsamente protette.

Il tuo obbligo di compiere uno sforzo ai sensi del GDPR e NIS2

Il GDPR e il Cybersecurity Act non richiedono la perfezione. Chiedono misure appropriate che corrispondano ai tuoi rischi. L'articolo 32 del GDPR menziona anche una procedura per testare, valutare e valutare le misure a intervalli regolari. Il Cybersecurity Act è in vigore dal 15 agosto 2026 e, secondo il NCSC, interessa più di 8.000 organizzazioni. L'articolo 21 menziona, tra le altre cose, lo sviluppo sicuro, la risposta alle vulnerabilità e la sicurezza della catena di approvvigionamento. Se non ci rientri tu stesso, un cliente che ci rientra può comunque chiedere una prova. Una scansione del codice o una scansione del server non è un marchio di qualità. Tuttavia, un report aiuta a mostrare ciò che hai controllato, ciò che hai trovato e ciò che hai risolto. Soprattutto quando succede qualcosa, è prezioso.

È ora di agire

1. Controlla quali versioni di PHP, Node.js e kernel sono realmente in esecuzione. 2. Applicare la patch e riavviare. 3. Sostituire il software senza supporto. PHP 8.2 terminerà il 31 dicembre 2026. 4. Cerca segni di abuso. 5. Fai controllare il tuo codice, comprese le vecchie parti che nessuno sta più guardando. 6. Cattura ciò che hai fatto. Utilizza il nostro autocontrollo gratuito come punto di partenza.

Come aiuta Binadit

Con Binadit Code Scan controlliamo il codice del tuo sito web o della tua applicazione, a un prezzo fisso e senza un account. Con la scansione del server, esaminiamo anche il livello e la configurazione delle patch. Gestiamo il tuo codice con cura, firmiamo un NDA e ogni risultato viene esaminato da un essere umano. Dai un'occhiata ai pacchetti.

Visualizza la scansione del codice Binadit Scansiona il tuo sito web Fai scansionare la tua domanda Visualizza la scansione del server Autocontrollo gratuito Condizioni