Le origini dell'emergenza risalgono a anni fa. Uno dei problemi alla base era stato segnalato alla PHP Foundation nel 2024, ma non seguì alcuna correzione; la fondazione in seguito definì tale mancanza un «fallimento strutturale» nel proprio processo di sicurezza.¹ Le falle rimasero nascoste in PHP, il linguaggio web utilizzato da circa il 70% dei siti, in parte perché sfruttarle richiedeva una catena insolitamente complessa di passaggi tecnici.

La situazione cambiò a metà agosto, quando ricercatori californiani che utilizzavano GPT-5.6 Sol di OpenAI e un team separato di Wiz che usava strumenti di IA scoprirono due vulnerabilità critiche, in seguito soprannominate PHP2Shell. I bug potevano consentire l'esecuzione remota di codice senza autenticazione, permettendo di fatto a un intruso di prendere il controllo di un server, accedere ai dati o modificare un sito web senza password. OpenAI ha presentato il risultato come la prova che «l'IA di frontiera ha trovato queste vulnerabilità prima degli attaccanti», pur ammettendo che le stesse capacità possono produrre rapidamente strumenti offensivi.²

Il vantaggio protettivo è svanito questa settimana. Un video di proof-of-concept è stato pubblicato accidentalmente martedì, i dettagli si sono diffusi online e PHP ha anticipato da giovedì a mercoledì il rilascio della patch previsto. La NSA ha esortato gli operatori ad applicare immediatamente le patch o a disconnettere i sistemi; siti governativi in Europa, insieme a servizi che andavano dall'Internet Archive a vecchi videogiochi, sono temporaneamente andati offline. Amazon ha dichiarato di aver osservato un tentativo di sfruttamento quattro giorni prima della divulgazione pubblica e ha avvertito che le falle venivano «ampiamente sfruttate in natura».³

Questa è la tensione centrale: l'IA potrebbe aver individuato il pericolo prima dei criminali, ma rende anche la replicazione molto più rapida. I ricercatori di sicurezza affermano che il tradizionale ciclo di settimane per sviluppare exploit si è drasticamente accorciato; i proprietari di siti web devono ora scegliere brutalmente tra aggiornamenti rapidi e interruzioni del servizio. Per gli utenti comuni, il rischio immediato è indiretto: i servizi compromessi possono esporre credenziali e dati di pagamento, quindi gli esperti consigliano password uniche, autenticazione a due fattori e attenzione agli avvisi di violazione.⁴

Mentre la corsa alle patch proseguiva, le aziende di IA hanno anche trasformato l'incidente in un mercato per la remediation. Aravind Srinivas ha affermato che Computer offriva crediti per verificare l'esposizione di siti PHP e configurazioni di distribuzione GitHub, sottolineando come la scansione automatizzata stia diventando parte della risposta oltre che della minaccia.Aravind Srinivas (AravSrinivas)⁵