Incidente PHP: due falle che hanno paralizzato milioni di siti web tedeschi

Il 22 ottobre 2026 il Tagesspiegel ha pubblicato un'analisi dettagliata su come due vulnerabilità PHP appena rese note (CVE-2026-109618 e CVE-2026-109619, denominate PHP2Shell) abbiano provocato una chiusura di siti web a livello nazionale. PHP, che secondo le stime fa funzionare una vasta proporzione dei siti web mondiali — tra cui portali di notizie basati su WordPress, negozi di e-commerce e sistemi governativi — ha visto le proprie falle rese pubbliche involontariamente prima che fosse pronta una patch. Il BSI (l'ufficio federale tedesco per la sicurezza informatica) ha emesso il suo avviso urgente alle 14:06 di mercoledì, chiedendo agli amministratori di «installare oggi stesso l'aggiornamento di sicurezza».

La portata della chiusura è stata notevole: nel giro di poche ore, decine di istituzioni pubbliche tedesche hanno portato offline i propri siti, tra cui l'ospedale Charité, la Libera Università e l'Università Humboldt di Berlino, i vigili del fuoco di Berlino e di altre città, e i portali di segnalazione online della polizia di Berlino e del Brandeburgo. Gli sviluppatori di PHP hanno pubblicato PHP 8.5.12 nello stesso pomeriggio.

L'articolo citava esperti di cybersicurezza che avvertono come gli attacchi assistiti dall'intelligenza artificiale stiano riducendo a ore, invece che a giorni, l'intervallo tra la divulgazione di una vulnerabilità e il suo sfruttamento massivo, definendo questo «un punto di svolta» nella sicurezza delle infrastrutture. Il ministro federale per il Digitale, Karsten Wildberger, ha confermato che i sistemi federali non sono stati colpiti, pur riconoscendo che l'incidente evidenzia la necessità di capacità di patching quasi istantanee.