Due vulnerabilità critiche individuate nel linguaggio di programmazione PHP hanno acceso un allarme internazionale sulla sicurezza delle infrastrutture digitali, spingendo organizzazioni pubbliche e private ad adottare misure straordinarie per proteggere i propri sistemi. Le vulnerabilità, note come PHP2Shell e identificate come CVE-2026-109618 e CVE-2026-109619, hanno entrambe un punteggio CVSS di 9,2 su 10 (scala v4.0) e possono consentire l’esecuzione remota di codice senza autenticazione sui sistemi vulnerabili. Le patch di sicurezza sono state rilasciate il 21 ottobre.
La rilevanza dell’evento è amplificata dalla diffusione di PHP, utilizzato, secondo W3Techs, da circa il 70% dei siti web di cui è noto il linguaggio server-side.
Ma al di là dell’emergenza di cybersecurity, questo episodio solleva una questione strutturale: quanto sono davvero preparate le imprese a mantenere sicure, aggiornate e sostenibili le proprie infrastrutture tecnologiche?
Il debito tecnico diventa un problema di capitale umano
Il caso PHP conferma il peso crescente delle competenze tecnologiche all’interno delle organizzazioni.
In molte imprese, applicazioni strategiche continuano a funzionare su architetture sviluppate molti anni fa, spesso caratterizzate da dipendenze complesse, documentazione incompleta e difficoltà di aggiornamento.
È il fenomeno del debito tecnico (technical debt): un costo che non si manifesta soltanto in termini economici, ma anche attraverso maggiori rischi operativi, minore capacità di innovazione e crescente dipendenza da competenze specialistiche.
Il dato più eloquente riguarda proprio il software datato: il PHP project ha rilasciato patch per le versioni 8.2, 8.3, 8.4 e 8.5 e, pur non essendo più supportate le versioni 8.1 e precedenti, data la gravità delle falle ha pubblicato anche backport minimi del codice sorgente per le release 7.4, 8.0 e 8.1. Per PHP 8.2, inoltre, il supporto di sicurezza terminerà il 31 dicembre 2026.
PHP2Shell potrebbe quindi accelerare processi di revisione infrastrutturale, aggiornamento applicativo e modernizzazione dei sistemi legacy già presenti nelle agende tecnologiche delle aziende.
Quali competenze potrebbero diventare più strategiche?
Nei prossimi mesi, le imprese potrebbero rivolgere maggiore attenzione a professionisti capaci di operare all’intersezione tra sviluppo software, architetture applicative e sicurezza informatica.
Tra le competenze più interessate figurano:
-
Software engineering e modernizzazione dei sistemi legacy: sviluppatori senior e software architect capaci di aggiornare applicazioni complesse, ridurre le dipendenze obsolete e guidare migrazioni tecnologiche;
-
Application security e DevSecOps: specialisti in grado di integrare la sicurezza nei processi di sviluppo, testing e rilascio del software;
-
Cloud infrastructure e site reliability engineering: professionisti responsabili della resilienza infrastrutturale, dell’automazione degli aggiornamenti e della continuità operativa;
-
Technology leadership: CTO, CISO ed Engineering Manager capaci di tradurre il rischio tecnologico in priorità organizzative, investimenti e strategie di gestione delle competenze.
Non si tratta di prevedere un aumento generalizzato delle assunzioni, ma di individuare una possibile evoluzione qualitativa della domanda: meno attenzione alla singola tecnologia e maggior peso alla capacità di governare sistemi complessi durante il loro intero ciclo di vita.
«Una patch chiude una vulnerabilità, ma non restituisce a un’azienda la conoscenza di come e perché un sistema è stato costruito. Il debito tecnico è anche un debito di competenze: più i sistemi invecchiano, più la loro sicurezza dipende da poche persone che li comprendono davvero, e questa dipendenza è un rischio che le imprese raramente misurano», commenta Federico Colacicchi, founder di Techyon.
L’intelligenza artificiale cambia le regole della cybersecurity
Il caso PHP presenta anche un ulteriore elemento di interesse: le vulnerabilità sono state individuate da ricercatori di Calif, Wiz e OpenAI e, secondo quanto comunicato da Wiz Research, strumenti avanzati di intelligenza artificiale hanno contribuito in modo significativo alla ricerca sulle vulnerabilità e alla realizzazione di exploit funzionanti.
È una trasformazione che potrebbe ridefinire i tempi e i metodi della sicurezza informatica.
Se l’intelligenza artificiale rende più rapido rilevare e analizzare vulnerabilità complesse, le imprese devono sviluppare capacità altrettanto avanzate per individuarle, correggerle e prevenirne lo sfruttamento.
«L’intelligenza artificiale ha accorciato i tempi con cui si scoprono le vulnerabilità, non quelli con cui le organizzazioni imparano a governarle. Il collo di bottiglia resta umano: servono persone capaci di leggere un sistema complesso, stabilire le priorità e assumersene la responsabilità. Sono profili che uniscono solidità tecnica e capacità decisionale, e non si improvvisano», dichiara Federico Colacicchi.
Dalla gestione dell’emergenza alla strategia tecnologica
Il caso PHP evidenzia come la gestione del rischio informatico non possa essere limitata a interventi occasionali.
La disponibilità di patch di sicurezza consente di affrontare le criticità più urgenti, ma non sostituisce una strategia di manutenzione evolutiva, gestione del ciclo di vita del software e sviluppo delle competenze.
Il punto non è soltanto disporre di tecnologie aggiornate, ma possedere le competenze necessarie per mantenerle sicure, farle evolvere e governarne la complessità.
Questo rappresenta uno dei temi centrali della trasformazione digitale: la capacità delle organizzazioni di selezionare e attrarre talenti tecnologici mission-critical sarà sempre più importante per la resilienza e la competitività delle imprese.
