Vulnerabilità critiche in PHP innescano una risposta globale in materia di sicurezza informatica

Governi, agenzie di sicurezza informatica e grandi organizzazioni di tutto il mondo si sono affrettate a mettere in sicurezza i propri sistemi dopo la scoperta di due vulnerabilità critiche in PHP, uno dei linguaggi di programmazione web più utilizzati su Internet. Le falle, che secondo quanto riferito erano rimaste inosservate per oltre un decennio, sono state individuate da ricercatori che hanno utilizzato strumenti avanzati di intelligenza artificiale e vengono descritte come tra i problemi di sicurezza web più significativi degli ultimi anni.

Le vulnerabilità sono talmente gravi che le agenzie nazionali per la sicurezza informatica nel Regno Unito, negli Stati Uniti, in Europa, in Australia e in Giappone hanno esortato le organizzazioni ad applicare immediatamente gli aggiornamenti di sicurezza o a valutare la possibilità di mettere offline i sistemi interessati fino a quando non fosse possibile implementare le patch. Diverse organizzazioni, tra cui siti web governativi, servizi pubblici e piattaforme mediatiche, hanno temporaneamente limitato l’accesso o messo offline i sistemi a titolo precauzionale.

I ricercatori di sicurezza stimano che le falle potrebbero potenzialmente interessare una vasta porzione dell’infrastruttura connessa a Internet, compresi i siti web realizzati su piattaforme popolari come WordPress, Drupal e Joomla. Le vulnerabilità potrebbero consentire agli aggressori di eseguire in remoto codice dannoso, portando potenzialmente alla compromissione dei siti web, alla diffusione di malware e al furto di dati.

Sebbene le patch siano state ora rilasciate, gli esperti avvertono che le organizzazioni devono agire rapidamente per identificare i sistemi vulnerabili e monitorare eventuali segni di tentativi di sfruttamento. L’incidente mette in luce sia il ruolo crescente dell’intelligenza artificiale nella sicurezza informatica sia i rischi diffusi associati alle vulnerabilità nelle tecnologie fondamentali di Internet.

Milioni di tentativi di sfruttamento in seguito alla divulgazione di una vulnerabilità critica di PHP

Gli esperti di sicurezza informatica avvertono le organizzazioni di applicare immediatamente le patch ai propri sistemi, dopo che, nel giro di poche ore dalla divulgazione pubblica delle vulnerabilità, sono stati rilevati milioni di tentativi di sfruttamento delle vulnerabilità PHP recentemente rese note. PHP è uno dei linguaggi di programmazione web più utilizzati al mondo, alla base di una parte significativa dei siti web e delle applicazioni connessi a Internet.

Secondo i principali fornitori di tecnologia, gli aggressori si sono mossi rapidamente per sfruttare le vulnerabilità. Cloudflare ha riferito che i tentativi di sfruttamento sono passati da migliaia prima della divulgazione pubblica a milioni nel giro di poche ore, mentre Amazon Web Services ha avvertito che le falle erano già attivamente sfruttate in ambiente reale. I ricercatori di sicurezza ritengono che gli autori delle minacce stessero già tentando di sfruttare le vulnerabilità prima ancora che i dettagli fossero annunciati ufficialmente.

La gravità delle falle ha spinto le agenzie governative e le organizzazioni di tutto il mondo ad adottare misure precauzionali, tra cui la temporanea messa offline dei siti web durante l’applicazione degli aggiornamenti di sicurezza. Le autorità del Regno Unito, degli Stati Uniti, dell’Australia e dell’Europa hanno tutte esortato le organizzazioni a implementare senza indugio le patch disponibili.

Gli esperti avvertono che la vulnerabilità potrebbe fornire agli aggressori una via diretta per compromettere i server web, installare malware, rubare dati o interrompere i servizi. Poiché gli strumenti di attacco automatizzati e le funzionalità basate sull’intelligenza artificiale accelerano gli sforzi di sfruttamento, si consiglia alle organizzazioni non solo di applicare le patch ai sistemi interessati, ma anche di esaminare i log alla ricerca di segni di compromissione e di monitorare eventuali attività dannose in corso.

Una password debole porta alla violazione dei dati relativi a migliaia di bambini

Le autorità britanniche per la protezione dei dati hanno ammonito Ogi Networks Limited (ONL) e Data Cymru dopo che un attacco informatico ha reso pubbliche le informazioni personali di circa 3.300 individui, per lo più bambini, attraverso un account protetto dalla password “Password1”.

Secondo l’Information Commissioner’s Office (ICO), gli autori dell’attacco hanno sfruttato un account di prova inattivo denominato “Test2”, rimasto attivo per oltre 12 anni senza essere stato adeguatamente controllato o rimosso. L’attacco ransomware ha comportato il furto di 42 GB di dati e la crittografia di quasi 183 GB di informazioni, con ripercussioni su progetti a sostegno di bambini e famiglie.

Gli investigatori hanno riscontrato che entrambe le organizzazioni non avevano implementato adeguati controlli di sicurezza informatica e non avevano definito chiaramente le responsabilità relative alla protezione dei sistemi interessati. L’ICO ha affermato che l’incidente evidenzia come una singola password debole e un account inutilizzato possano creare un rischio significativo per la sicurezza.

A seguito della violazione, entrambe le organizzazioni hanno introdotto misure di sicurezza più rigorose, tra cui l’autenticazione a più fattori (MFA), controlli di accesso più stringenti, revisioni periodiche degli account e accordi aggiornati sul trattamento dei dati. L’incidente serve a ricordare l’importanza delle pratiche di base di «igiene informatica», quali la rimozione degli account inattivi, l’imposizione di password complesse e la verifica periodica degli accessi degli utenti per ridurre il rischio di compromissione.

Scoperto in circolazione un agente autonomo di attacchi informatici basato sull’IA

I ricercatori di sicurezza hanno scoperto un sofisticato agente di attacco informatico basato sull’intelligenza artificiale, in grado di condurre un’intera catena di attacchi senza intervento umano. Lo strumento autonomo è stato progettato per eseguire in modo indipendente fino a 100.000 azioni dannose, tra cui la ricerca di obiettivi vulnerabili, lo sfruttamento di falle di sicurezza, il furto di credenziali, la distribuzione di miner di criptovalute e il mantenimento della persistenza sui sistemi compromessi.

L’agente di IA è stato scoperto dal Threat Hunter Team di Symantec tramite un honeypot di IA progettato per attirare gli aggressori che prendono di mira le infrastrutture di intelligenza artificiale. I ricercatori hanno acquisito il set di istruzioni del malware e hanno scoperto che era stato progettato per dirottare servizi esposti basati su modelli linguistici di grandi dimensioni (LLM), una tecnica nota come «LLMjacking», che consente agli aggressori di utilizzare risorse di IA di terze parti evitando al contempo il rilevamento e i costi operativi.

L’analisi ha rivelato che l’agente aveva accesso a decine di strumenti offensivi in grado di effettuare ricognizione, sfruttare vulnerabilità, rubare database, raccogliere credenziali e gestire botnet. Le istruzioni includevano anche tecniche volte a eludere i controlli di sicurezza integrati nei modelli di IA commerciali e a mascherare le attività dannose come legittime operazioni di amministrazione di sistema.

Sebbene i singoli metodi di attacco non siano nuovi, i ricercatori avvertono che la loro combinazione in un agente di IA autonomo abbassa significativamente la barriera di ingresso per i criminali informatici. La scoperta evidenzia un crescente cambiamento nel panorama delle minacce, in cui l’IA non si limita più ad assistere gli aggressori, ma agisce sempre più come il motore che pianifica e guida autonomamente le operazioni informatiche.

Una vulnerabilità critica di GitLab consente l’esecuzione remota di codice su server autogestiti

GitLab ha rilasciato aggiornamenti di sicurezza d’emergenza per risolvere una vulnerabilità critica di esecuzione di codice remoto (RCE), identificata come CVE-2026-110264, che presenta il punteggio CVSS massimo di 10,0. La falla interessa tutte le installazioni GitLab autogestite a partire dalla versione 7.0, il che significa che potrebbero essere vulnerabili anche i sistemi che eseguono software rilasciato già nel 2014.

Secondo GitLab, la vulnerabilità deriva da un overflow di interi nel motore di elaborazione delle espressioni regolari della piattaforma. In determinate condizioni, un aggressore non autenticato potrebbe sfruttare la falla per eseguire codice arbitrario su un server vulnerabile senza bisogno di effettuare l’accesso. Sebbene al momento non vi siano prove che la vulnerabilità sia stata sfruttata in ambiente reale, gli esperti di sicurezza avvertono che la sua gravità e il suo ampio impatto rendono essenziale una rapida risoluzione.

GitLab ha rilasciato patch per diverse versioni supportate e legacy, una misura insolita che riflette la gravità del problema. L’azienda ha inoltre pubblicato regole di rilevamento per aiutare gli amministratori a identificare potenziali tentativi di sfruttamento.

Sono interessati solo gli ambienti GitLab autogestiti, mentre GitLab.com e le istanze aggiornate di GitLab Dedicated contengono già la correzione. Si raccomanda vivamente alle organizzazioni che utilizzano distribuzioni self-hosted di applicare immediatamente gli ultimi aggiornamenti, poiché GitLab non ha fornito alcuna soluzione alternativa. La vulnerabilità è l’ultima di una serie di falle ad alta gravità che interessano il motore delle espressioni regolari di GitLab e costituisce un ulteriore promemoria dell’importanza di una gestione tempestiva delle patch per le piattaforme di sviluppo connesse a Internet.

Se siete preoccupati per una delle minacce descritte nel presente bollettino o avete bisogno di assistenza per stabilire quali misure adottare per proteggervi dalle minacce più rilevanti che la vostra organizzazione deve affrontare, contattate il vostro account manager oppure, in alternativa,contattateciper scoprire come proteggere la vostra organizzazione.

Il “Threat Intel Roundup” è stato redatto da Integrity360 per riassumere le notizie relative alle minacce così come le osserviamo, aggiornate alla data di pubblicazione. Non deve essere considerato come un parere legale, di consulenza o di qualsiasi altro tipo di consulenza professionale. Eventuali raccomandazioni devono essere valutate nel contesto della propria organizzazione. Integrity360 non assume alcuna posizione politica nelle informazioni che condivide. Inoltre, le opinioni espresse potrebbero non corrispondere necessariamente al punto di vista di Integrity360.