Quando mercoledì 22 ottobre è emersa la notizia che PHP presentava una vulnerabilità sfruttabile, la maggior parte delle persone non aveva mai sentito parlare del linguaggio di programmazione in questione. Secondo il rapporto di AJ Vicens, PHP è alla base di circa il 70 per cento di tutti i siti web, e la divulgazione ha mandato nel caos aziende e team di sicurezza. Se ti stai chiedendo cosa riguardi la vulnerabilità di PHP e come restare al sicuro, la risposta breve è che le protezioni più efficaci avvengono dalla tua parte dello schermo, e sono semplici.

Una nota su ciò che sappiamo: il testo disponibile dell'articolo originale è breve e inquadra la notizia in una più ampia discussione sull'hacking potenziato dall'IA. Non intendiamo speculare sui dettagli tecnici della falla oltre a quanto è stato riportato. Quello che possiamo fare è spiegare perché un bug come questo conta per gli utenti comuni e quali abitudini riducono la tua esposizione.

Perché una falla in PHP raggiunge gli utenti di tutti i giorni

PHP è un linguaggio lato server. Funziona dietro le quinte sui server web, generando le pagine che vedi quando accedi, fai acquisti o leggi le notizie. Non lo installi mai e non lo vedi mai, ma se il sito che usi si basa su di esso, una debolezza in PHP può diventare una debolezza in quel sito.

Ecco perché la portata è così ampia. Con PHP che secondo il rapporto è alla base di circa il 70 per cento dei siti web, il bacino interessato comprende siti di piccole imprese, negozi online, blog e servizi presso cui potresti avere un account. Risolvere il problema è principalmente compito dei proprietari dei siti e dei provider di hosting, che devono applicare le patch. Non puoi applicare patch al server di qualcun altro.

Ciò che puoi controllare è quanto danno potrebbe farti un sito compromesso. Se un sito che usi viene violato, le domande sono se la tua password funziona altrove, se un login rubato da solo basta per entrare e se verrai ingannato dalle truffe successive che spesso arrivano dopo.

Come l'IA sta accelerando hacking e truffe

Il titolo dell'articolo punta all'hacking potenziato dall'IA, e la preoccupazione è facile da capire. Strumenti automatizzati possono aiutare gli attaccanti a scansionare più rapidamente i siti vulnerabili e a creare messaggi più convincenti su larga scala. Un'email truffaldina che un tempo si tradiva con una formulazione maldestra ora può risultare scritta in modo impeccabile.

L'articolo originale include una sezione dedicata alle tattiche dei truffatori, compreso un avvertimento sui link non richiesti. La lezione pratica è che non puoi più affidarti all'individuazione di errori grammaticali o di refusi evidenti. Affidati invece al processo: verifica da dove proviene un messaggio prima di agire.

Cinque passi pratici per proteggerti

Queste abitudini sono buone pratiche generali più che un riepilogo dell'elenco esatto dell'articolo, che non ci è pienamente disponibile. Affrontano l'esposizione che una vulnerabilità come questa crea.

  1. Mantieni aggiornati i tuoi software. Attiva gli aggiornamenti automatici per sistema operativo, browser e app. Se gestisci un tuo sito web o un blog in stile WordPress su PHP, aggiorna prontamente la piattaforma, i plugin e la versione di PHP, oppure chiedi al tuo hosting di confermare di aver applicato le patch.
  2. Diffida dei link non richiesti. Non cliccare sui link in email, SMS o messaggi inattesi, anche se sembrano familiari. Digita tu stesso l'indirizzo del sito o usa un segnalibro salvato.
  3. Usa una password unica per ogni account. Se un sito viene compromesso, una password unica impedisce al danno di propagarsi. Un gestore di password rende tutto questo realistico.
  4. Attiva l'autenticazione a due fattori (2FA). Anche se una password trapela, un secondo passaggio rende molto più difficile l'accesso per un attaccante. Le app di autenticazione o le chiavi hardware sono generalmente più robuste dei codici via SMS.
  5. Fai attenzione alle truffe successive. Dopo una falla ampiamente divulgata, aspettati messaggi che si spacciano per "avvisi di sicurezza" di aziende che usi. Vai direttamente al sito ufficiale o all'app dell'azienda invece di usare il link fornito.

Cosa protegge una VPN e cosa no

Una VPN cifra il tuo traffico tra il tuo dispositivo e il server VPN, il che è utile su Wi-Fi pubblici, dove altri sulla stessa rete potrebbero altrimenti osservare la tua attività. Può anche nascondere il tuo indirizzo IP ai siti che visiti.

Ciò che non fa è risolvere una falla nel codice di un sito web. Se un server che esegue PHP vulnerabile viene compromesso, una VPN sul tuo dispositivo non cambia la situazione. Non ti impedirà nemmeno di inserire la tua password su una pagina di phishing. Considerala come un livello limitato, non come uno scudo contro questo tipo di problema. Per un contesto sul perché la crittografia e gli strumenti per la privacy restano un tema di dibattito politico attuale, leggi il nostro articolo su come Chat Control 2.0 minacci ancora la crittografia UE, secondo i critici.

Cosa significa per te

Non devi capire PHP per ridurre il tuo rischio. La divulgazione è soprattutto un promemoria del fatto che i tuoi account vivono su server che non controlli. Presumi che qualsiasi sito possa essere violato un giorno, e configura i tuoi account affinché una violazione sia un inconveniente e non un disastro: password uniche, 2FA e diffidenza verso i link inattesi.

Agisci oggi

Se dopo aver letto questo non farai nient'altro, fai subito queste tre cose: installa gli aggiornamenti in sospeso, attiva la 2FA per i tuoi account email e bancari e sostituisci qualsiasi password riutilizzata. Restare al sicuro dopo una vulnerabilità di PHP si riduce a queste abitudini quotidiane. Usa una VPN se ti connetti spesso su Wi-Fi pubblici, ma trattala come uno strato tra diversi, non come una panacea.