AM Best e CyberCube leggono le due falle critiche di PHP come un caso concreto di rischio sistemico: sinistri a coda lunga, possibile estensione alla D&O e velocità di patch come metro di sottoscrizione. In Italia l’ACN conta 285.149 servizi potenzialmente vulnerabili.
Due vulnerabilità nel motore di PHP, il linguaggio usato da circa il 70% dei siti di cui è noto il linguaggio lato server, sono diventate in una settimana un test per i portafogli cyber. AM Best, in un commentary del 27 ottobre, vede in PHP2Shell il rischio di un evento sistemico per gli assicuratori del ramo. Quattro giorni prima CyberCube aveva dato una lettura più misurata, che però arriva allo stesso punto: la perdita, se ci sarà, maturerà nel tempo. Per chi sottoscrive le domande sono due, come misurare l’accumulo e quanto far pesare nel prezzo la gestione delle patch.
Due falle in un software che sta ovunque
Il 21 ottobre il progetto PHP ha corretto due vulnerabilità di esecuzione di codice da remoto, CVE-2026-109618 e CVE-2026-109619, valutate 9,2 con il CVSS 4.0, rilasciando le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Sono esposte tutte le installazioni che servono richieste web, con il rischio massimo nella configurazione Apache con mod_php. Mitigazioni complete non ce ne sono: l’unica strada sicura è aggiornare. PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti ufficiali dal progetto: per queste due falle esistono solo backport minimi del codice sorgente o le correzioni dei distributori. La 8.2 arriva a fine vita il 31 dicembre.
Il codice vulnerabile era in PHP dal 2012. A trovare le falle sono stati, con l’aiuto di modelli di intelligenza artificiale, la società di sicurezza Calif con un modello di OpenAI e, in modo indipendente, Wiz Research. Secondo CyberCube l’AI ha ridotto da mesi a circa una settimana il lavoro necessario per trasformare il difetto in un attacco. Lo sfruttamento è partito presto: Amazon ha registrato i primi tentativi il 17 ottobre, quattro giorni prima delle patch, e Cloudflare ha contato tentativi nell’ordine dei milioni dopo l’annuncio. Il 26 ottobre la CISA ha inserito entrambe le vulnerabilità nel catalogo di quelle sfruttate attivamente, fissando al 29 ottobre la scadenza per le agenzie federali americane.
In Italia 285.149 servizi da aggiornare
I numeri italiani sono dell’Agenzia per la cybersicurezza nazionale. Secondo i dati elaborati dal CSIRT Italia nell’alert del 25 ottobre, nel Paese sono esposti 741.523 servizi PHP, 285.149 dei quali con versioni potenzialmente vulnerabili: l’81,9% di quelli di cui è stato possibile identificare la versione. Il giorno dopo l’ACN ha segnalato IceWarp Server, che incorpora PHP: un esempio di componente vulnerabile dentro prodotti di terzi, dove la correzione dipende dal fornitore e non arriva con il normale aggiornamento di PHP.
Il dato misura la diffusione del problema, non i sinistri, ma descrive il rischio che preoccupa chi sottoscrive: un’unica dipendenza software condivisa da centinaia di migliaia di sistemi. È lo scenario che S&P indica come il punto debole di un mercato cyber ancora in fase soft: molti assicurati legati agli stessi fornitori, sinistri simultanei e correlati.
Perché AM Best parla di evento sistemico
È questa correlazione il cuore del commentary. AM Best avverte che le perdite potrebbero emergere lentamente, perché gli attaccanti possono attendere prima di sfruttare gli accessi ottenuti e perché il contenzioso allunga i tempi. E segnala un divario significativo fra la perdita economica complessiva e quella che resterà in carico agli assicuratori.
Anandi Kotecha, director Industry Research di AM Best, richiama la preoccupazione di assicuratori e clienti per l’uso dei modelli di AI di frontiera da parte di chi cerca di sviluppare tecniche di attacco più in fretta di quanto i fornitori di software riescano a individuare le vulnerabilità. La finestra fra scoperta e attacco si accorcia, mentre quella fra attacco e denuncia può allungarsi.
Il tempo dei sinistri è il fronte più delicato. Gli attacchi a PHP2Shell lasciano pochissime tracce e le violazioni emergono spesso dopo giorni o settimane, osserva CyberCube, mentre password e chiavi sottratte oggi si possono usare mesi dopo: l’assenza di intrusioni confermate non prova che non ce ne siano state. Per AM Best gli assicuratori con un enterprise risk management solido aggiorneranno modelli e stress test alla luce di PHP2Shell.
Quando la patch diventa materia da consiglio di amministrazione
L’agenzia non confina l’impatto alla cyber. Ipotizza un’estensione alla D&O, legata agli obblighi di segnalazione e di aggiornamento dei sistemi che le autorità impongono nell’Unione europea e negli Stati Uniti. Un ritardo nella patch o una notifica tardiva possono così tradursi in contestazioni rivolte agli amministratori.
In Italia la cornice è quella della NIS2, recepita con il decreto legislativo 138/2024: i soggetti nel perimetro devono inviare al CSIRT Italia, per ogni incidente significativo, una pre-notifica entro 24 ore e una notifica entro 72 ore (articolo 25), e l’articolo 23 del decreto attribuisce responsabilità dirette agli organi di amministrazione, il nodo che lega la cyber alle polizze D&O dei board.
CyberCube: non un nuovo MOVEit, piuttosto un altro Log4Shell
CyberCube si chiede quanto possa costare l’evento e, a oggi, conclude che PHP2Shell non è un evento a grande perdita, a differenza di MOVEit, il caso del 2023 che PCS designò come prima «cyber catastrophe», con una soglia di 250 milioni di dollari di perdite assicurate di settore. Il paragone più vicino è Log4Shell: una coda lunga più che un picco concentrato. Più della metà dei server PHP che dichiarano la versione usa release senza correzione ufficiale, e i prodotti con PHP incorporato resteranno esposti finché non interverranno i fornitori. Finora il danno visibile è venuto dalla prudenza: siti governativi, di scuole e ospedali messi offline in Asia, Europa e Nord America, e il governo britannico, da solo, ha comunicato al Parlamento 32 servizi indisponibili.
Secondo l’analisi la quota assicurabile verrà soprattutto da medie e grandi imprese, che hanno più sistemi PHP, applicazioni interne datate e dispositivi di fornitori che non si possono aggiornare: sistemi più spesso collegati a reti interne e dati sensibili, dove una sola violazione può portare a ransomware, interruzione di attività o perdita massiva di dati. Le piccole imprese sono esposte soprattutto con siti semplici su servizi di hosting che aggiornano PHP in modo centralizzato.
La velocità di patch entra nel prezzo
Se l’AI continuerà a far emergere falle critiche più in fretta di quanto le organizzazioni riescano a correggerle, per CyberCube la rapidità con cui un assicurato applica le patch diventerà un segnale sempre più forte di sottoscrizione e di prezzo. Il metro è severo: secondo Moody’s, la mediana per rimediare alle vulnerabilità sfruttate note è di 87 giorni. La CISA ne ha concessi tre alle agenzie federali.
CyberCube chiede anche ai (ri)assicuratori procedure che distinguano un evento di scoperta, con milioni di sistemi esposti e nessuna perdita confermata, da un evento diffuso con perdite materiali, assegnando a sottoscrizione, sinistri e gestione del portafoglio chi interviene in ogni fase.
Per AM Best c’è anche un risvolto commerciale. Sridhar Manyem, senior director Industry Research, ricorda il valore che gli assicuratori cyber offrono in analisi forense, gestione delle patch e revisione delle difese, un insieme di servizi che a suo giudizio «dovrebbe far crescere la domanda di assicurazione cyber».
PHP2Shell potrebbe non superare mai la soglia di una catastrofe cyber. Mostra però dove sta l’accumulo: in un componente che usano quasi tutti, e in sinistri che arrivano quando l’evento sembra chiuso.
