CANBERRA – Diversi siti governativi australiani sono stati temporaneamente posti offline dopo la scoperta di gravi vulnerabilità in PHP, uno dei linguaggi di programmazione più utilizzati al mondo, mentre Canberra cerca di prevenire possibili intrusioni prima che gli hacker riescano a sfruttare le falle su larga scala.

Il ministro dell’Industria e dell’Innovazione Tim Ayres ha assicurato che, al momento, non risultano violazioni dei sistemi governativi australiani e che le interruzioni sono state decise esclusivamente come misura preventiva.

L’operazione è coordinata dall’Australian Signals Directorate insieme alle altre agenzie nazionali di sicurezza informatica.

Anche alcuni siti del governo del New South Wales sono stati temporaneamente disattivati mentre vengono applicate le correzioni e svolti test di sicurezza. Il ministro statale per Servizi clienti e Governo digitale Jihad Dib ha spiegato che le autorità stanno seguendo le indicazioni dell’Australian Cyber Security Centre per contenere qualsiasi rischio.

Il problema nasce da una serie di vulnerabilità critiche rimaste nascoste per oltre un decennio nel codice di PHP e individuate con l’aiuto di sistemi di intelligenza artificiale.

Gli sviluppatori del linguaggio hanno pubblicato aggiornamenti urgenti e invitato tutti gli utenti ad applicarli immediatamente.

PHP viene utilizzato per costruire e gestire una quota enorme dei siti internet ed è alla base di piattaforme molto diffuse come WordPress e Drupal.

Secondo il ricercatore australiano di sicurezza informatica Troy Hunt, circa il 70 per cento dei siti mondiali utilizza PHP, direttamente o tramite altri sistemi.

La vulnerabilità è particolarmente grave perché permette la cosiddetta remote code execution, vale a dire la possibilità per un aggressore di eseguire codice sul server preso di mira.

Questo potrebbe consentire l’accesso a dati personali, la modifica dei contenuti di un sito o il reindirizzamento degli utenti verso altre pagine.

Non tutti i servizi basati su PHP sono però necessariamente esposti allo stesso modo. I rischi riguardano soprattutto i siti che eseguono il linguaggio sui propri server e non sono ancora stati aggiornati.

L’elemento che preoccupa maggiormente gli esperti è la velocità con cui l’intelligenza artificiale può ora trasformare la pubblicazione di una correzione in uno strumento utile anche agli aggressori.

Una volta resa nota l’esistenza della falla, modelli avanzati possono infatti aiutare a ricostruirne rapidamente il funzionamento, riducendo drasticamente il tempo a disposizione degli amministratori per mettere in sicurezza i sistemi.

Shaanan Cohney, docente della University of Melbourne, ha osservato che questo incidente dimostra come le procedure tradizionali di divulgazione responsabile delle vulnerabilità potrebbero non essere più sufficienti.

In passato, tra l’annuncio di un problema e la capacità di sfruttarlo concretamente esisteva spesso un intervallo abbastanza ampio da consentire l’applicazione degli aggiornamenti.

Con l’AI, quella finestra temporale può ridursi drasticamente.

Anche Amazon ha segnalato di aver rilevato già il 17 ottobre un tentativo di sfruttamento contro un proprio sistema-esca, quattro giorni prima che le vulnerabilità fossero rese pubbliche.

La provenienza dell’attacco non è stata chiarita.

Per gli utenti australiani, la domanda principale resta quando torneranno disponibili i servizi temporaneamente sospesi.

Non esiste una risposta unica: ciascun sito potrà essere riattivato una volta completata l’installazione delle correzioni e verificato che non rimangano vulnerabilità.

Il ministro degli Interni Tony Burke ha confermato che alcuni portali governativi resteranno offline fino alla conclusione dei controlli.

La crisi ha riacceso anche il dibattito australiano sulla regolamentazione dell’intelligenza artificiale.

L’ex ministro dell’Industria Ed Husic ha sostenuto che la capacità dell’AI di individuare falle utili alla sicurezza non elimina la necessità di regole più rigorose sull’utilizzo dei sistemi avanzati.

Il governo federale aveva già annunciato la creazione di un Office of AI incaricato di coordinare lo sviluppo di nuovi standard nazionali.