Una falla di sicurezza in PHP mette offline i siti delle istituzioni berlinesi; la maggior parte è stata ripristinata

Intorno al 21 ottobre 2026, i ricercatori di sicurezza hanno divulgato due vulnerabilità critiche in PHP — il linguaggio di scripting su cui si basa gran parte dei siti web del mondo —, identificate come CVE-2026-109618 e CVE-2026-109619 e soprannominate collettivamente «PHP2Shell». Le falle potrebbero consentire a un aggressore non autenticato di eseguire codice arbitrario su un server interessato. L'Ufficio federale tedesco per la sicurezza informatica (BSI) ha emesso un allarme urgente di livello «arancione», chiedendo un aggiornamento immediato a PHP 8.5.12 «già oggi».

A Berlino, l'ospedale universitario Charité, la Freie Universität (Università Libera), la Humboldt-Universität, il sito dei vigili del fuoco di Berlino (Berliner Feuerwehr) e il banco alimentare Berliner Tafel hanno disattivato i propri siti per precauzione. Anche il portale di denuncia online della polizia (Internetwache), sia a Berlino che nel Brandeburgo, è andato fuori servizio.

Gli sviluppatori di PHP hanno pubblicato una versione corretta mercoledì pomeriggio. Giovedì, il Charité, la Freie Universität, la S-Bahn di Berlino e il portale berlin.de erano in gran parte di nuovo online. Il portale della polizia del Brandeburgo restava fuori servizio giovedì sera. Il ministro federale per il Digitale, Karsten Wildberger, ha dichiarato che i sistemi federali non sono stati colpiti, ma ha definito l'episodio un segnale del fatto che «stiamo entrando in una nuova era della cybersicurezza».