Storia
21 ott 2026
L'IA ha scoperto la bomba a orologeria di PHP: ora il web corre per correggerla
La scoperta offre ai difensori una rara vittoria: l'IA ha contribuito a svelare un rischio vecchio di decenni prima che, a quanto pare, lo trovassero i criminali. Eppure lo stesso episodio pone team di sicurezza, governi e operatori di siti web di fronte a una realtà più dura: le macchine potrebbero presto individuare e trasformare in armi le falle più rapidamente di quanto internet riesca a correggerle.
L'allarme è iniziato con una ricerca assistita dall'IA di vulnerabilità in PHP, il linguaggio open source intrecciato a una vasta porzione del web. OpenAI ha dichiarato che un ricercatore di Calif ha usato GPT-5.6 Sol per identificare gli exploit critici prima degli aggressori, quindi ha rilasciato uno strumento pensato per aiutare gli sviluppatori a individuare le versioni vulnerabili di PHP.1
La posta in gioco è diventata chiara quando i ricercatori hanno descritto ciò che le falle potrebbero consentire: gli aggressori potrebbero prendere il controllo di server web vulnerabili senza password, aprendo la strada al furto di dati, all'alterazione dei siti e a disagi più ampi. PHP è usato da quasi il 70% dei siti web, mentre i ricercatori di Wiz hanno definito le scoperte «tra le vulnerabilità più gravi mai individuate in PHP e, probabilmente, nella storia del software».2 La scoperta ha inoltre acuito una divisione di lunga data nella cybersicurezza. OpenAI ha presentato l'IA come una forza difensiva capace di trovare bug che gli esseri umani non hanno rilevato; i professionisti della sicurezza hanno avvertito che la medesima capacità può comprimere il tempo tra la divulgazione e lo sfruttamento.
Entro mercoledì, quel pericolo teorico era diventato una crisi operativa. Governi e organizzazioni in Europa e negli Stati Uniti hanno temporaneamente messo offline siti web mentre si affrettavano a installare aggiornamenti di sicurezza.3 Gli operatori dei siti web si sono trovati davanti a una scelta sgradevole: accettare l'inattività e applicare subito le correzioni, oppure restare online esposti a una falla che poteva cedere il controllo dei loro sistemi.
La divulgazione pubblica ha poi innescato avvertimenti urgenti da parte di funzionari di tutto il mondo, incluso il primo ministro giapponese, mentre il CTO di Cloudflare Dane Knecht ha affermato che stavano già emergendo «primi attacchi» e che le mitigazioni venivano aggiornate man mano che apparivano nuovi vettori.4 Per i difensori, trovare per primi il bug è stato un vantaggio cruciale. La corsa per contenerlo mostra quanto ristretto possa essere tale vantaggio quando l'IA accelera entrambi i lati della corsa alla sicurezza.5