Il Prof Mauro Santaniello lancia un S.O.S. sulla RETE: A RISCHIO LA SOVRANITÀ DIGITALE

NELLE PROSSIME ORE POTREBBE ROMPERSI PURE IL WEB

Pensiamo alla sovranità digitale come alla capacità di costruire cloud europei, data center, chip, modelli di intelligenza artificiale. Ma la sovranità digitale è anche una cosa molto più prosaica: fare un minimo di manutenzione.

Soprattutto in Europa.

E se per fortuna non si rompesse, avremmo comunque bisogno di capire bene la lezione, una volta per tutte.

(Avvertenza: è un post lungo. Spoiler: non è un fatto di cybersecurity, è una questione di sovranità digitale).

Poche ore fa sono state rese pubbliche due vulnerabilità gravissime di PHP, che in determinate condizioni consentono a un attaccante di prendere il controllo di un server senza nemmeno autenticarsi. Le patch sono appena uscite e gli attacchi sono già stati osservati.

PHP è un linguaggio che lavora “dietro” le pagine che vediamo. Molti utenti non ne hanno mai sentito parlare, ma è uno dei pilastri del Web: secondo W3Techs è utilizzato da circa il 70% dei siti e da quasi due terzi del milione di siti più visitati al mondo.

È il motore su cui poggiano, direttamente o indirettamente, WordPress, Drupal, MediaWiki, Nextcloud e una quantità enorme di siti istituzionali, blog, portali aziendali, forum, piccoli e-commerce e applicazioni costruite negli ultimi vent’anni.

Le patch esistono. PHP dice chiaramente che non ci sono mitigazioni complete: aggiornare è l’unica scelta sicura. CERT ed autorità nazionali stanno già dicendo che, dove non sia possibile farlo immediatamente, la soluzione è mettere temporaneamente offline i sistemi. Spegnere, staccare la spina.

Ed è esattamente ciò che sta succedendo a numerosi siti governativi, sanitari e istituzionali europei.

C’è di più. Le istituzioni, forse, sicuramente non ovunque e non a tutti i livelli, saranno pronte ad aggiornare. Chi prima, chi dopo, chi molto dopo. Ma aggiornare “il Web” non è come aggiornare l’app sul telefono. Ci sono milioni di installazioni, molte delle quali vecchie, poco manutenute o sostanzialmente abbandonate. C’è un vero e proprio cimitero della rete: siti costruiti dieci o quindici anni fa, piccoli blog che nessuno amministra più, vecchi portali di associazioni e imprese, applicazioni sviluppate da società defunte, plugin mai aggiornati, codice scritto per versioni di PHP ormai antiche, host lasciati da qualche parte in ufficio da qualcuno che magari non lavora più lì da un decennio. È semplicemente irrealistico immaginare che tutto questo venga aggiornato ordinatamente nel giro di pochi giorni. O che ci sia qualcuno che si ricordi di andare a chiudere il gas.

COSA POTREBBE SUCCEDERE?

Finché il rischio resta teorico, molti sistemi continueranno a funzionare così come sono. Ma quando queste vulnerabilità cominceranno a essere sfruttate sistematicamente per trasformare siti vulnerabili in punti di ingresso, botnet o piattaforme da cui lanciare altri attacchi, i provider di hosting non avranno molte alternative. Dovranno aggiornare PHP a livello di server, anche forzando il passaggio dei clienti a versioni più sicure.

Dal punto di vista della sicurezza sarà probabilmente inevitabile. Dal punto di vista del Web potrebbe causare un tamponamento a catena su scala globale. Perché una parte di quelle vecchie applicazioni non sarà compatibile con le versioni aggiornate di PHP. Vecchie funzioni non più supportate, su cui magari si è continuato a costruire per anni. Plugin incompatibili, temi abbandonati, librerie obsolete, codice sviluppato in un’altra era infologica e mai più toccato.

Roba che se la stacchi qualche altra cosa da qualche altra parte non funziona più.

Per questo nei prossimi giorni potremmo assistere non soltanto a siti messi offline per evitare gli attacchi, ma a una quantità difficilmente prevedibile di vecchie pagine e applicazioni che smetteranno di funzionare proprio perché, per ragioni di sicurezza, l’infrastruttura sottostante dovrà essere aggiornata.

L’ASPETTO CHE TROVO INTERESSANTE, E CHE FORSE POTREBBE INSEGNARCI QUALCOSA, È CHE QUESTA È UNA QUESTIONE DI SOVRANITÀ DIGITALE.

La PHP Foundation qualche settimana fa ricordava, con un titolo molto efficace, che Digital Sovereignty Is Written in PHP (“La sovranità digitale è scritta in PHP” – ndr). Non è un’esagerazione.

La Commissione europea gestisce attraverso Drupal circa 770 siti e 44 servizi, per circa 700 milioni di visite e 2,2 miliardi di pagine viste ogni anno.

In Germania più di 80 amministrazioni federali utilizzano il Government Site Builder e il governo sta investendo circa 108 milioni di euro nella sua nuova generazione. Nextcloud, largamente basato su PHP e centrale nelle strategie europee di autonomia digitale, serve centinaia di migliaia di utenti pubblici.

Eppure nel 2025 la PHP Foundation ha ricevuto appena 730 mila dollari di contributi, e si può permettere appena 13 ingegneri (nemmeno tutti a tempo pieno).

Un paradosso che abbiamo fatto finta di non vedere per troppo tempo.

Investiamo centinaia di milioni nelle piattaforme costruite sopra queste tecnologie, mentre dedichiamo risorse ridicole alla loro manutenzione.

Pensiamo alla sovranità digitale come alla capacità di costruire cloud europei, data center, chip, modelli di intelligenza artificiale.

Ma la sovranità digitale è anche una cosa molto più prosaica: fare un minimo di manutenzione.

Mauro Santaniello è un politologo e Professore Associato in Scienza Politica presso l’Università degli Studi di Salerno. È un esperto riconosciuto a livello internazionale nel campo della geopolitica delle reti, delle politiche digitali e della governance di Internet.

Ruoli Accademici e Istituzionali

• Attività didattica: Insegna Internet governance, Politiche digitali e Relazioni internazionali all’Università di Salerno.
• Centri di ricerca: Ricopre la carica di Direttore dell’Internet & Communication Policy Center (ICPC) ed è l’ideatore e coordinatore scientifico della Salerno Winter School on Internet Governance (SWING).
• Affiliazioni globali: È Associate Research Fellow presso l’Istituto della United Nations University sulla comparazione dell’integrazione regionale (UNU-CRIS) a Bruges, in Belgio. Fa parte inoltre di network accademici internazionali di rilievo come GigaNet e GIG-ARTS.

Temi di Ricerca principali

La sua attività scientifica si concentra prevalentemente sulla sovranità digitale, la democrazia elettronica e l’impatto delle tecnologie emergenti (come l’intelligenza artificiale generativa e il quantum computing) sulle strutture di potere statali e aziendali.

È stato il coordinatore principale (Principal Investigator) di progetti di ricerca nazionali (PRIN) finanziati dal Ministero dell’Università e della Ricerca sul tema dell’autorità statale e dei diritti fondamentali nel cyberspazio.