Due vulnerabilità classificate come “critiche” nel linguaggio di programmazione PHP possono mettere a rischio dati bancari, credenziali e buste paga gestiti da applicazioni web in Europa. L’Agenzia per la cybersicurezza nazionale ha comunicato la pubblicazione degli aggiornamenti di sicurezza necessari a correggere le falle.
Secondo la nota dell’Agenzia, qualora fossero sfruttate, le vulnerabilità potrebbero permettere a un utente malintenzionato remoto di “eseguire codice arbitrario sui sistemi interessati”. Il problema non riguarda quindi un singolo database o un’applicazione specifica, ma il componente tecnologico alla base di numerosi software web.
Quali dati possono essere esposti
William Nonnis, analista tecnologico della presidenza del Consiglio dei ministri, ha dichiarato al Fatto Quotidiano che tra i dati potenzialmente esposti ci sono anche gli Iban e le buste paga. Secondo la sua valutazione, tra il 70 e l’80 per cento dei software per la gestione del personale in Europa si basa su PHP.
La correzione richiede l’installazione delle patch da parte di aziende, professionisti, utenti e pubbliche amministrazioni. Il quotidiano sottolinea però che non tutte le organizzazioni potrebbero disporre delle competenze informatiche necessarie per intervenire rapidamente.
Segnalati tentativi di accesso
Un imprenditore e consulente informatico, rimasto anonimo, ha raccontato di aver subito diversi attacchi contro la propria azienda nella notte. Dopo aver applicato una patch, avrebbe rilevato tentativi di accesso quasi immediati.
Tra gli obiettivi indicati ci sarebbero nomi utente, password, credenziali per entrare nei sistemi protetti e buste paga. Il materiale ricorda inoltre che, nel novembre 2025, un attacco contro Almaviva aveva esposto anche dati bancari di dipendenti di Ferrovie dello Stato, per circa 70mila persone.
La vulnerabilità può interessare anche infrastrutture aggiornate, fino a quando non vengono applicate le correzioni necessarie. Il rischio, secondo gli esperti citati dal Fatto Quotidiano, non è dunque limitato a programmi obsoleti o sviluppati senza adeguati criteri di sicurezza.
