Perché mercoledì la Francia ha chiuso le porte dei suoi siti pubblici

Articolo redatto la sera del 21 ottobre 2026. La situazione evolve di ora in ora: alcuni elementi potranno essere precisati nei prossimi giorni.

Immaginate una città in cui quasi tutte le case hanno la stessa serratura. Una serratura solida, montata da anni, a cui nessuno pensa più.

Un giorno si scopre che ha un difetto. Un ladro furbo potrebbe aprirla senza chiave, entrare, frugare nei cassetti e perfino prendere il comando della casa come se ne fosse il padrone.

E a trovare il difetto è stato un robot. Il robot non era un ladro: aiutava dei ricercatori a controllare le serrature. Ma anche un ladro può chiedere aiuto a un robot.

Gli esperti hanno dato un voto a questo pericolo, come a scuola: 9,2 su 10. È quasi il voto massimo.

È esattamente quello che è appena successo su Internet. La serratura si chiama PHP. Protegge circa 7 siti web su 10 nel mondo. Mercoledì 21 ottobre, per prudenza, la Francia ha chiuso le porte di molti siti pubblici (fisco, prefetture, Météo-France), il tempo di cambiare le serrature. Alcune aziende hanno fatto lo stesso.

Nei prossimi giorni potreste trovare un sito con la scritta «in manutenzione». Non è per forza un guasto: forse qualcuno sta cambiando la serratura.

Una nuova serratura esiste già. Ma bisogna installarla, casa per casa. E alcune case troppo vecchie non la riceveranno mai.

Allora sorge una domanda semplice: chi si occupa della serratura di casa vostra?

Per chi vuole capire nel dettaglio, ecco che cosa è successo.

Quello che è successo, semplicemente

In concreto, mercoledì 21 ottobre nel pieno pomeriggio, il sito delle imposte, quello di Météo-France e quelli della quasi totalità delle prefetture francesi sono diventati inaccessibili. Non si trattava di un attacco, ma di una precauzione: su richiesta dell'ANSSI, l'agenzia nazionale di cybersicurezza, il ministero dell'Interno ha messo i suoi siti in «manutenzione preventiva». Nei Paesi Bassi e in Finlandia, alcuni siti pubblici hanno fatto lo stesso. Anche alcune aziende hanno interrotto una parte dei loro servizi: secondo Actu17, l'aeroporto di Amsterdam-Schiphol ha sospeso la sua app e Nintendo una parte dei suoi servizi. Negli Stati Uniti, l'agenzia federale di cybersicurezza ha chiesto un aggiornamento immediato.

PHP è un linguaggio informatico, cioè un modo di scrivere le istruzioni che fanno funzionare un sito web. È discreto ma ovunque: fa girare WordPress, Drupal, Joomla o Magento, strumenti utilizzati da innumerevoli aziende, associazioni e municipi. Secondo i ricercatori che hanno scoperto le falle, PHP sarebbe utilizzato da circa il 70 % dei siti web nel mondo. Attenzione, questo numero indica i siti che utilizzano PHP, non quelli che sono realmente vulnerabili. In Francia, l'ANSSI ha contato più di 600.000 server che utilizzano PHP, secondo Le Figaro.

Le due falle, soprannominate «PHP2Shell», permettono ciò che gli specialisti chiamano un'esecuzione di codice da remoto: una persona malintenzionata può far eseguire le proprie istruzioni sul server di un sito, senza avervi accesso fisicamente e senza password. Una volta all'interno, può rubare dati, installare software nascosti o recuperare gli account collegati al sito. Il team europeo di risposta agli incidenti (CERT-EU) attribuisce loro un punteggio di gravità di 9,2 su 10.

La cronologia merita di essere raccontata. Secondo Wiz Research, il team che ha fatto la scoperta, la prima falla è stata trovata il 19 agosto e segnalata al team di sicurezza di PHP il 24 agosto. Per due mesi il segreto è stato mantenuto, il tempo di preparare una correzione. È ciò che si chiama una divulgazione coordinata: si avvisano prima coloro che possono riparare, poi si informa il pubblico. Ma alcune informazioni sono trapelate online prima della data prevista, il che ha accelerato il calendario. Le correzioni sono state pubblicate mercoledì pomeriggio. Secondo il sito Actu17, che cita il media specializzato The Record, riguardano solo le versioni recenti di PHP (8.2 e successive), perché le più vecchie non sono più mantenute. Il direttore tecnico di Cloudflare, un'azienda che protegge una grande parte del web, ha indicato di osservare i primi tentativi di attacco.

L'allerta: la stessa IA apre e chiude le porte

Wiz Research spiega di aver utilizzato diversi modelli di IA all'avanguardia per trovare queste falle, e poi per verificare le correzioni. Actu17 riporta che altri ricercatori, presso Calif, hanno lavorato anche con un modello di OpenAI. È una buona notizia: l'IA ha permesso di rilevare un problema presente da anni in uno strumento utilizzato ovunque.

Ma è anche il cuore del problema etico. Lo strumento che trova la falla per ripararla può anche aiutare a sfruttarla. Un esperto interrogato da Le Figaro lo riassume così: «Nell'era dell'IA, bisogna pregare che vada tutto bene». In passato, tra la scoperta di una falla e il suo sfruttamento, servivano tempo e competenze rare. Oggi questo intervallo si riduce. I difensori, invece, devono sempre aggiornare migliaia di siti, uno alla volta.

Tre domande si pongono allora, senza catastrofismo:

• Chi paga il prezzo della velocità? Le grandi organizzazioni hanno team informatici. Il piccolo commerciante, l'associazione di quartiere o il municipio di un paese, spesso, non ne hanno. Il loro sito WordPress installato cinque anni fa gira forse su una versione di PHP che non sarà mai corretta.
• Chi mantiene le fondamenta? PHP è un software libero, costruito e mantenuto da una comunità. Una grande parte del web poggia su questo lavoro spesso poco visibile. La sua sicurezza è un bene comune, come una strada o un ponte.
• Chi decide che cosa si pubblica, e quando? La fuga prematura delle informazioni ha lasciato meno tempo per proteggersi. In un mondo in cui l'IA accelera tutto, la moderazione diventa una virtù di sicurezza pubblica.

La speranza: ciò che ognuno può fare

Questa storia mostra anche ciò che funziona. Alcuni ricercatori hanno trovato le falle e le hanno segnalate invece di venderle. Una comunità ha lavorato per due mesi per correggerle. Alcuni Stati hanno preferito spegnere i loro siti per qualche ora piuttosto che esporre i dati dei cittadini. È il nostro filo rosso: costruire la città piuttosto che la torre di Babele. Costruire insieme, con prudenza, piuttosto che salire sempre più in fretta e più in alto.

Nel vostro piccolo, non avete bisogno di essere informatici per agire. Basta porre le domande giuste alle persone giuste.

E se utilizzate l'IA nella vostra attività, tenete a mente questa lezione: uno strumento potente non è né buono né cattivo in sé. Tutto dipende da chi lo usa, per che cosa, e con quali regole. È anche l'argomento del mio libro L'abondance tuera (in francese): quando la potenza diventa abbondante, la saggezza diventa indispensabile.

E voi?

Sapete oggi chi è responsabile della sicurezza del vostro sito, di quello della vostra associazione o del vostro comune? E se un'IA può trovare una falla in pochi giorni, che cosa dovremmo esigere da chi costruisce e mantiene i nostri strumenti digitali?

Per non perdere il prossimo articolo, iscrivetevi alla newsletter del giovedì sulla pagina Perché allelu.ai. E se conoscete un commerciante, un'associazione o un amministratore locale che gestisce un sito web, inoltrategli questo articolo: forse è la persona che dovrebbe leggerlo per prima.

Fonti

• Le Figaro, «Una parte dell'Internet mondiale messa in pausa dopo la scoperta di falle critiche nel linguaggio informatico PHP», 21 ottobre 2026 (in francese)
• Actu17, «Falle critiche in PHP: siti spenti in emergenza in tutto il mondo, tra cui quelli delle prefetture in Francia» (in francese)
• Wiz Research, «PHP2Shell» (in inglese)
• CERT-EU, avviso di sicurezza 2026-018 (in inglese)
• CISA, «Critical Vulnerabilities in PHP Require Immediate Patching», 21 ottobre 2026 (in inglese)

Redatto con l'aiuto dell'IA, rivisto e validato da Reynald Naulleau.