PHP2Shell non è comparso dal nulla. Due anni prima dell’allarme di questa settimana, un ricercatore aveva identificato una falla con la stessa causa principale e aveva affermato che la PHP Foundation ne era stata informata, eppure non fu distribuita alcuna correzione. In seguito, la fondazione ha definito quella mancanza un “fallimento strutturale” legato al suo processo decisionale e alla carenza di risorse.¹

A metà agosto, ricercatori di Calif e di Wiz, controllata da Google, avevano scoperto due vulnerabilità critiche di PHP usando strumenti di IA, tra cui GPT-5.6 Sol di OpenAI. I bug, ciascuno valutato 9,2 su 10, potevano consentire a un intruso non autenticato di eseguire codice da remoto su un server PHP — una prospettiva inquietante per un linguaggio usato da circa il 70% dei siti web con programmazione lato server nota.¹

La scoperta inizialmente sembrava una vittoria difensiva. OpenAI ha dichiarato: “Per quanto ne sappiamo, un’IA di frontiera ha scoperto queste vulnerabilità prima degli aggressori”, avvertendo al contempo che le stesse capacità avrebbero potuto aiutare gli aggressori a sviluppare rapidamente strumenti offensivi.² Questa dualità è diventata la tensione centrale della vicenda: l’IA aveva portato alla luce una debolezza nascosta da tempo, ma la divulgazione e le patch potevano anche fornire agli aggressori un modello da seguire.

Martedì, Calif ha pubblicato accidentalmente un video di un exploit proof-of-concept, accelerando una pubblicazione prevista per giovedì. La PHP Foundation ha rilasciato le patch con 24 ore di anticipo, mercoledì. A quel punto, su GitHub era apparso codice che sosteneva di sfruttare PHP2Shell, sebbene la fondazione abbia affermato di non aver visto prove di un exploit pubblico funzionante e abbia descritto il codice generato in circolazione come incompleto o non funzionante.¹

I governi hanno considerato il rischio immediato. La NSA ha esortato le organizzazioni ad applicare subito le patch o a mettere i sistemi offline; alcuni siti web pubblici europei sono andati offline mentre gli operatori lavoravano. Il suo avvertimento era netto: queste falle possono offrire “un percorso diretto verso il file system o il database del server”.²

La corsa potrebbe essere già iniziata. Amazon ha dichiarato di aver rilevato un tentativo di sfruttamento quattro giorni prima della divulgazione pubblica e che le vulnerabilità venivano “ora ampiamente sfruttate in natura”.² Anche gli strumenti commerciali si sono precipitati nella risposta: Aravind Srinivas ha detto che gli utenti potevano ricevere crediti per verificare l’esposizione a PHP, promuovendo al contempo uno strumento che assegna priorità alle correzioni.Aravind Srinivas (AravSrinivas)³

L’episodio lascia un insegnamento più difficile del semplice applicare patch a PHP: l’IA può dare ai difensori la prima visione della prossima crisi, ma sta anche riducendo l’intervallo prima che tutti gli altri li raggiungano.