Che cos’è PHP e perché è importante

Nelle ultime 24 ore i gestori di siti e servizi online in tutto il mondo hanno dovuto affrontare due gravi vulnerabilità di PHP, uno dei linguaggi di programmazione che fanno funzionare una parte enorme del Web, spesso senza che chi lo usa se ne accorga. Il problema, individuato grazie a sistemi di intelligenza artificiale, è tra i più gravi mai scoperti ed espone i siti a potenziali attacchi informatici. Può essere superato con un aggiornamento, ma vista la gravità alcuni gestori hanno preferito portare offline i loro siti in attesa di metterli in sicurezza con le risorse che sono state diffuse.

L’infrastruttura di Internet, di cui il Web è una parte, funziona in larga parte grazie a programmi, linguaggi e codici condivisi, spesso “open source”, il cui contenuto è accessibile pubblicamente e può essere studiato, utilizzato e modificato secondo le condizioni della relativa licenza. Molte di queste fondamenta nacquero un po’ per caso e per rispondere a necessità specifiche di singole persone, evolvendosi poi negli strumenti essenziali per il funzionamento della rete oggi. PHP non fa eccezione.

Nel 1994 il programmatore danese Rasmus Lerdorf voleva tenere traccia delle visite al proprio curriculum vitae che aveva pubblicato sul suo sito personale, in un’epoca in cui avere un sito significava scrivere quasi per intero il codice (HTML) necessario a costruirne le pagine. Scrisse una piccola serie di programmi per farlo e la chiamò Personal Home Page Tools, abbreviato poi in PHP.

Non era il linguaggio articolato di oggi, ma l’idea è più o meno rimasta la stessa: rendere “dinamiche” alcune sezioni di un sito, cioè fare in modo che possano mostrare particolari elementi che cambiano a seconda di cosa fa chi lo sta navigando. In questo modo ogni persona può avere per esempio un proprio account, usare un carrello virtuale da riempire con la spesa o personalizzare i contenuti che vede in una pagina. PHP serve a questo e a evitare che ogni volta qualcuno si debba mettere a scrivere manualmente tutto il codice HTML di una pagina.

Lo stesso articolo che state leggendo in questo momento è stato prodotto grazie a PHP. Come milioni di altri siti, anche il Post usa WordPress, una delle piattaforme di pubblicazione che esistono proprio grazie a tecnologie come PHP.

Quando avete cliccato per aprire questo articolo, il programma che usate per navigare (il browser, come Chrome o Firefox) ha inviato una richiesta ai server del Post, cioè ai computer che fanno funzionare il sito. Il server a quel punto ha eseguito PHP per gestire la richiesta e ha avviato i passaggi per recuperare dal database (cioè l’archivio delle informazioni) i dati necessari per costruire la pagina dell’articolo come titolo, sommario, testo, immagini e se siete abbonati personalizzazioni come il nome utente e la possibilità di commentare.

Al termine di questo lavoro di elaborazione reso possibile da PHP, il server ha potuto infine inviare al browser l’HTML della pagina dell’articolo, insieme a un’altra ampia serie di informazioni sullo stile della pagina e su come visualizzarla. (Nel caso del Post l’esempio è una descrizione di cosa avveniva fino a qualche tempo fa, oggi il sito usa sistemi più complessi e che rendono meno centrale PHP, per assicurare una navigazione più veloce e sicura.)

PHP non è quindi un programma installato su tutti i computer, sugli smartphone e sugli altri dispositivi per navigare online. In generale, viene eseguito sui server attraverso un apposito ambiente di esecuzione, che elabora il codice scritto nel linguaggio. Il browser di solito non vede quindi il codice PHP che ha reso possibile la produzione della pagina.

Rispetto alla versione di PHP del 1994, quella attuale è decisamente più potente e articolata ed è essenziale per il funzionamento di moltissime cose online. Il suo successo è derivato dall’essere un sistema semplice e poco costoso per sviluppare siti dinamici.

Si stima che il 70 per cento dei siti utilizzi PHP, compresi alcuni dei più grandi al mondo come Wikipedia. Molti sono ancora gestiti e aggiornati anche per quanto riguarda la sicurezza, altri continuano a esistere senza che siano aggiunti nuovi contenuti. In questi casi usano spesso versioni datate di PHP che nessuno aggiorna, o che sarebbe difficile usare per via dell’incompatibilità delle nuove versioni con il resto dei sistemi che fanno funzionare quei siti.

La falla di sicurezza, costituita da due vulnerabilità, riguarda il motore di PHP, cioè il componente che esegue il codice. Un utente malintenzionato può sfruttarle per intervenire a un livello più profondo rispetto a una vulnerabilità limitata a una sola funzione del sito.

Diverse autorità per la sicurezza informatica, compresa quella europea, hanno raccomandato di mettere offline siti e servizi, nel caso in cui non sia possibile applicare tempestivamente le correzioni. Il fatto che un portale sia offline o con meno servizi attivi potrebbe derivare dalle attività in corso di aggiornamento, e non dall’esito di una violazione. Un attacco potrebbe avere come esito la modifica delle pagine pubblicate, l’accesso a informazioni contenute nei database (per esempio quelle relative agli utenti registrati) e l’installazione di strumenti per controllare in modo non autorizzato un sito.

Nell’ultimo periodo sono diventate molto più frequenti le segnalazioni di falle e vulnerabilità, grazie al lavoro di analisi svolto con sistemi di intelligenza artificiale che ha permesso di individuare più rapidamente problemi in sistemi complessi e con grandi quantità di codice. Nel caso delle vulnerabilità di PHP, i ricercatori hanno utilizzato diversi modelli di intelligenza artificiale, tra cui Gemini 4 Argon, che ha contribuito a individuare le falle e a verificare le correzioni.

Le aziende informatiche e i gruppi che si occupano di mantenere i sistemi open source, come PHP, si stanno organizzando per affrontare in modo più strutturato questa accelerazione, ma è un’attività che richiede tempo e risorse economiche non sempre a disposizione di tutti. L’emergenza di questi giorni mostra quanto il Web e Internet in generale dipendano da sistemi sconosciuti ai più, ma che richiedono investimenti continui e competenze per mantenerli sicuri e affidabili.