Comunicazione di sicurezza informatica
Vulnerabilità PHP: indicazioni operative per gli istituti scolastici
In relazione alle recenti segnalazioni di sicurezza riguardanti PHP, si ritiene opportuno fornire agli istituti scolastici alcune indicazioni per comprendere il problema e individuare le eventuali verifiche necessarie, con un approccio concreto e proporzionato.
01. Di cosa si tratta
Sono state segnalate due vulnerabilità di sicurezza che interessano PHP, una tecnologia utilizzata per realizzare e gestire numerosi siti web e applicazioni online. In determinate condizioni, queste vulnerabilità possono esporre un sistema non aggiornato a rischi informatici significativi.
Le segnalazioni riguardano in particolare le vulnerabilità identificate con i codici CVE-2026-109618 e CVE-2026-109619. Per le versioni interessate sono state comunicate correzioni di sicurezza, la cui applicazione deve essere valutata da chi amministra i sistemi coinvolti.
È importante, tuttavia, distinguere la presenza di una vulnerabilità in una tecnologia dalla sua effettiva esposizione in una specifica infrastruttura.
Il punto fondamentale
La pubblicazione di una vulnerabilità non significa che tutti i computer o tutti i servizi di una scuola siano vulnerabili, né costituisce di per sé la prova che sia avvenuto un attacco o che siano stati sottratti dati.
Per stabilire se sia necessario intervenire occorre prima individuare eventuali sistemi interessati, verificare come sono gestiti e accertare se siano effettivamente esposti al problema.
02. Registri elettronici, gestionali e piattaforme online
Gli istituti scolastici utilizzano normalmente servizi informatici forniti da aziende specializzate, tra cui registri elettronici, gestionali di segreteria, applicazioni amministrative e piattaforme per la comunicazione con famiglie e personale.
Tra gli esempi rientrano i servizi di Argo, ClasseViva e altre piattaforme di fornitori quali Spaggiari, Axios o soggetti analoghi. In questi casi, quando l'applicazione e i relativi server sono amministrati dal fornitore, la gestione tecnica dell'infrastruttura e l'applicazione degli aggiornamenti di sicurezza competono al soggetto che la amministra, secondo gli accordi e le responsabilità previste per il servizio.
Lo stesso criterio si applica ai siti web istituzionali ospitati presso società esterne e alle applicazioni online gestite da fornitori terzi. È necessario distinguere, infatti, tra il sito o il servizio utilizzato dalla scuola e l'infrastruttura tecnica sulla quale esso è installato.
Cosa significa per la scuola?
Se il servizio è interamente gestito da un fornitore esterno, la scuola non deve intervenire autonomamente sui server del fornitore. È opportuno chiedere conferma che le vulnerabilità siano state valutate e che siano state adottate le misure necessarie, quando applicabili.
La richiesta serve a ottenere un riscontro documentabile, non implica che il servizio sia stato compromesso o che debba necessariamente essere eseguito un intervento aggiuntivo.
03. Quali sistemi è opportuno verificare
La verifica deve concentrarsi sui sistemi nei quali PHP è effettivamente installato e che possono essere interessati dalle vulnerabilità segnalate. Non è necessario estendere indiscriminatamente i controlli a tutte le apparecchiature informatiche dell'Istituto.
Sulla base delle configurazioni normalmente adottate negli istituti scolastici seguiti da SAEMA Informatica, i servizi di segreteria sono generalmente utilizzati attraverso piattaforme online gestite dai rispettivi fornitori e non tramite server interni della scuola dedicati all'erogazione di applicazioni PHP.
La verifica riguarda quindi soprattutto i servizi online utilizzati e gli eventuali siti web o applicazioni ospitati presso fornitori esterni. Occorre inoltre considerare eventuali sistemi particolari installati o amministrati direttamente dall'Istituto o da un tecnico incaricato.
La verifica è pertinente soprattutto nei seguenti casi:
- Sito web istituzionale: verificare con il gestore dell'hosting o con il fornitore incaricato se la versione di PHP utilizzata sia interessata e se siano state applicate le correzioni necessarie.
- Server o hosting amministrati direttamente: verificare la presenza di PHP, la versione installata, l'eventuale esposizione del servizio e gli aggiornamenti applicabili.
- Applicazioni web personalizzate: controllare con il soggetto che le gestisce se utilizzino componenti interessati e quali interventi siano effettivamente necessari.
- Servizi cloud e piattaforme di terzi: rivolgersi al fornitore responsabile dell'infrastruttura, senza tentare modifiche tecniche su sistemi che la scuola non amministra.
Un chiarimento importante
La normale presenza di computer Windows, stampanti, scanner o programmi d'ufficio in segreteria non costituisce, da sola, un motivo per disporre interventi straordinari legati a queste vulnerabilità PHP.
Eventuali verifiche sui dispositivi devono essere motivate da elementi tecnici specifici, non dalla sola notizia della pubblicazione delle vulnerabilità.
04. Indicazioni operative per l'Istituto
Per gestire correttamente la segnalazione è consigliabile seguire pochi passaggi, partendo dai servizi effettivamente utilizzati dalla scuola.
1. Individuare i servizi interessati
Elencare i principali servizi online utilizzati dall'Istituto, identificando chi li fornisce e chi ne cura la gestione tecnica. Non occorre avviare verifiche indiscriminate su tutti i computer.
2. Richiedere conferma ai fornitori
Per i registri elettronici, i gestionali, il sito web e le applicazioni ospitate esternamente, è possibile chiedere al rispettivo gestore di confermare se il servizio rientri tra quelli potenzialmente interessati e se siano state adottate le misure di sicurezza necessarie.
La richiesta può essere formulata in modo semplice:
Oggetto: richiesta di verifica vulnerabilità PHP CVE-2026-109618 e CVE-2026-109619
In relazione alle recenti segnalazioni di sicurezza riguardanti le vulnerabilità PHP identificate con i codici CVE-2026-109618 e CVE-2026-109619, si chiede cortesemente di confermare se i servizi erogati all'Istituto siano interessati e, in caso affermativo, se siano state adottate le necessarie misure correttive.
Qualora siano richieste ulteriori attività a carico dell'Istituto, si chiede di specificare il servizio coinvolto, le verifiche effettuate e gli interventi eventualmente necessari.
3. Conservare i riscontri ricevuti
È opportuno archiviare le risposte dei fornitori e le eventuali comunicazioni tecniche ricevute, così da mantenere traccia delle verifiche richieste e delle misure dichiarate.
4. Intervenire solo sui sistemi effettivamente coinvolti
Se viene individuato un server o un'applicazione basata su PHP amministrati direttamente dalla scuola o da un tecnico incaricato, occorre valutare gli aggiornamenti applicabili e pianificare l'intervento in modo appropriato.
Se invece i servizi sono gestiti interamente da fornitori esterni, la prima attività è ottenere il riscontro del soggetto responsabile. Non è necessario eseguire interventi sui sistemi della scuola che non risultino coinvolti.
05. Conclusioni: cosa deve fare concretamente la scuola
Le vulnerabilità segnalate meritano attenzione, ma è importante chiarire che la loro pubblicazione non significa che i sistemi dell'Istituto siano stati compromessi, né che sia necessario intervenire su tutti i computer della scuola.
Nelle configurazioni normalmente utilizzate dagli istituti scolastici, i registri elettronici, i gestionali di segreteria e le principali applicazioni d'ufficio sono erogati attraverso piattaforme online gestite dai rispettivi fornitori. Quando tali soggetti amministrano anche i server, la gestione degli aggiornamenti di sicurezza compete a loro, secondo gli accordi in essere.
Per gli istituti che non dispongono di server propri sui quali siano installati servizi web basati su PHP e che utilizzano applicazioni gestite interamente da fornitori esterni, non è normalmente richiesto alcun intervento tecnico straordinario sui computer della segreteria, sulle stampanti o sui dispositivi utilizzati quotidianamente dal personale in relazione a queste specifiche vulnerabilità.
In pratica, cosa è opportuno fare?
- Verificare chi gestisce i servizi online utilizzati dall'Istituto.
- Chiedere ai fornitori interessati conferma delle verifiche e delle eventuali correzioni applicate.
- Controllare gli eventuali siti web o server amministrati direttamente dalla scuola o da un tecnico incaricato.
- Conservare le risposte ricevute e procedere con ulteriori attività solo se emergono esigenze tecniche concrete.
Si raccomanda pertanto di non disporre interventi tecnici straordinari senza aver prima individuato un sistema effettivamente interessato e chiarito chi ne abbia la responsabilità di gestione. Qualora venga proposto un intervento, è ragionevole richiedere che siano indicati il sistema da verificare, il rischio riscontrato, le attività concretamente necessarie e i relativi costi.
Questo approccio consente di affrontare il tema con la dovuta attenzione, senza allarmismi e senza attività non necessarie: individuare i servizi utilizzati, rivolgersi ai fornitori responsabili e intervenire dove le verifiche dimostrino che sia effettivamente opportuno farlo.
Per eventuali dubbi sull'individuazione dei sistemi da verificare, l'Istituto può rivolgersi al proprio referente tecnico o al soggetto incaricato dell'assistenza informatica.
Cordiali saluti.
SAEMA Informatica
Assistenza tecnica e consulenza informatica per gli istituti scolastici
