Storia
22 ott 2026
PHP2Shell trasforma la svolta dell’IA nella corsa alle patch di Internet
L’episodio PHP2Shell viene descritto sia come un trionfo difensivo dell’IA sia come un avvertimento che gli stessi strumenti possono azzerare il tempo che i siti web avevano un tempo per reagire. I funzionari sollecitano un’azione immediata, mentre i ricercatori non concordano sul fatto che gli aggressori abbiano già compiuto il salto dalla teoria a exploit funzionanti.
I ricercatori di Calif e Wiz di Google hanno identificato due vulnerabilità critiche in PHP, il linguaggio web alla base di circa il 70% dei siti web, utilizzando una combinazione di strumenti di IA avanzati. Le falle, presenti per anni nella base di codice di PHP, potrebbero consentire a un attaccante non autenticato di eseguire codice su un server e accedere a file o database.1
La scoperta è stata inizialmente presentata come un esempio dell’IA arrivata per prima al bug. OpenAI ha affermato che i modelli di frontiera avevano individuato le falle prima degli aggressori e aiutato i ricercatori a convalidare le correzioni. Ha però anche avvertito che la stessa capacità potrebbe aiutare gli aggressori a sviluppare rapidamente strumenti offensivi, una tensione al centro della risposta.2
Entro martedì, quella risposta era già sotto pressione. Secondo alcune notizie, un video proof-of-concept che dimostrava una catena di exploit è stato brevemente pubblicato online, accelerando di un giorno il rilascio pianificato delle patch da parte della PHP Foundation. Mercoledì sono arrivate le patch e la NSA ha detto alle organizzazioni che utilizzano PHP di aggiornare immediatamente o di mettere offline i sistemi interessati.3
L’avvertimento ha provocato interruzioni mentre governi e altri gestori in Europa e negli Stati Uniti ritiravano temporaneamente i siti per applicare le patch. La prima ministra giapponese, Sanae Takaichi, ha chiesto interventi quella sera e ha affermato che sospendere i siti web potrebbe ridurre il rischio quando non è possibile una correzione tempestiva.4
La controversia più rilevante riguarda se, in alcuni casi, la corsa sia già stata persa. Amazon ha dichiarato di aver rilevato un tentativo di sfruttamento quattro giorni prima della divulgazione pubblica e che i bug stavano “ora venendo ampiamente sfruttati in natura”.5 La PHP Foundation, tuttavia, ha affermato di non aver visto prove di exploit funzionanti, ma solo codice generato incompleto o non funzionante.3
Mentre le aziende si affannano, anche gli strumenti commerciali si stanno muovendo: Aravind Srinivas ha affermato che gli utenti potrebbero ricevere crediti per verificare l’esposizione dei sistemi PHP e delle configurazioni di distribuzione GitHub.
6 Il compito immediato è banale ma enorme: applicare rapidamente le patch, oppure spegnersi.