Chi è Ondřej Surý, il programmatore ceco che ha aiutato a mettere al sicuro il web durante l’emergenza di ottobre

Per chi non lavora con i server, il nome Ondřej Surý probabilmente non dice nulla. Per chi invece li amministra, può essere una presenza familiare da anni: il suo nome compare dietro quei pacchetti software che permettono di aggiornare PHP senza dover ricostruire tutto a mano. Un lavoro poco appariscente e ben poco fancy, almeno fino a quando non c’è un’emergenza.

È accaduto nell’ottobre 2026, quando due gravi vulnerabilità di PHP hanno fatto partire una corsa agli aggiornamenti. Surý, programmatore ceco, ha contribuito a rendere disponibili le correzioni per i sistemi che utilizzano i suoi pacchetti. E così un’attività portata avanti da oltre vent’anni, in gran parte nel tempo libero, è diventata improvvisamente una notizia.

Qualcuno lo ha descritto come l’uomo che ha “salvato Internet”: una definizione impegnativa (e parecchio semplificata), dietro la quale c’è però traccia del suo contributo concreto alla sicurezza di un numero enorme di serve.

Da Debian al lavoro sulle fondamenta di Internet

Surý è sviluppatore Debian dal 2000 e si occupa dei pacchetti PHP fin dai tempi di PHP 5. Sul suo sito, DEB.SURY.ORG, spiega che i pacchetti ufficiali di Debian e Ubuntu sono opera sua oppure si basano sul suo lavoro. Inoltre, mantiene archivi aggiuntivi dai quali gli amministratori possono ottenere diverse versioni del linguaggio.

Detta così sembra una questione riservata agli addetti ai lavori.

Ma siccome non tutti sono addatti ai lavori, proviamo a semplificare: chi gestisce un server ha bisogno di software preparato per funzionare con il proprio sistema operativo e che sia facilmente installabile e aggiornabile. Surý si occupa proprio di questo passaggio: prende il codice e lo rende disponibile sotto forma di pacchetti.

Non è, peraltro, un appassionato che di giorno fa tutt’altro. Entrato nell’Internet Systems Consortium nel settembre 2017, è stato presentato dall’organizzazione come direttore dell’ingegneria DNS, alla guida del gruppo che sviluppa BIND 9, uno dei software utilizzati nel sistema che permette di associare i nomi dei siti agli indirizzi necessari per raggiungerli.

Prima ancora aveva lavorato per CZ.NIC, l’organizzazione che gestisce i domini cechi, fondandone i laboratori di ricerca. Nel curriculum c’è anche una formazione accademica inaspettata: Surý ha infatti laurea di primo livello in psicologia e sociologia.

Le falle PHP e la corsa agli aggiornamenti del 21 ottobre

Ma veniamo all’emergenza.

Il 21 ottobre 2026 il progetto PHP ha pubblicato aggiornamenti per correggere due vulnerabilità critiche. Il rischio indicato nell’avviso ufficiale era serio: le falle potevano consentire l’esecuzione di codice da remoto senza autenticazione. In termini meno tecnici, un aggressore avrebbe potuto far eseguire al sistema istruzioni non autorizzate.

Le correzioni sono state distribuite nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Il gruppo di sicurezza ha invitato gli utenti ad aggiornare immediatamente, precisando che le misure provvisorie potevano ridurre alcune possibilità di attacco, senza rendere sicura un’installazione vulnerabile.

Surý ha quindi contribuito in maniera sostanziale al lavoro di distribuzione per Debian e Ubuntu.

Non ha scoperto e risolto da solo tutte le falle, né ha aggiornato personalmente i siti del mondo (d’altra parte gli aggiornamenti sono responsabilità dei singoli admin): ha svolto una parte importante nella risposta collettiva all’emergenza, nel settore che conosce da oltre due decenni.

Diecimila dollari di donazioni e un lavoro che continua dopo l’emergenza

L’attenzione ricevuta ha avuto anche un effetto economico. Nel racconto fornito alla BBC, Surý ha riferito di aver raccolto oltre 10.000 dollari in pochi giorni: all’incirca quanto riceveva normalmente in un anno di contributi. Ha inoltre sostenuto che le aziende che dipendono dal software open source dovrebbero pensare a offrire un proprio contributo finanziario non solo ai margini di un’emergenza.

Sul suo sito la richiesta è già piuttosto chiara: preparare e mantenere i pacchetti PHP richiede tempo (come immaginabile) e lui lo fa soprattutto nelle ore libere. Chi li utilizza per un’attività commerciale viene quindi invitato a valutare il supporto a pagamento tramite Freexian oppure una donazione (a giudicare daie ringraziamenti alle aziende che sostengono il progetto qualche contributo arriva già).

Quanto alla notorietà improvvisa, Surý ha voluto rivolgere un pensiero agli amministratori di sistema che avevano trascorso giornate stressanti a installare aggiornamenti e proteggere i siti, inviando loro un forte abbraccio virtuale: non saranno 10.000 dollari ma quello che conta è il pensiero.