Storia
23 ott 2026
L'IA ha scoperto il bug nascosto di PHP, poi il web ha avuto ore per reagire
La crisi di PHP viene interpretata in due modi: come una rara vittoria difensiva per l'IA, che ha contribuito a smascherare un pericolo rimasto nascosto a lungo, e come un avvertimento che gli stessi strumenti hanno ridotto il tempo disponibile per proteggere l'infrastruttura più antica di internet.
Il problema è iniziato ad agosto, quando i ricercatori di Calif e di Wiz, di proprietà di Google, hanno utilizzato separatamente sistemi di IA per analizzare PHP, il linguaggio vecchio di decenni alla base di WordPress, Drupal e, secondo alcune stime, di circa il 70% dei siti web. Calif ha usato GPT-5.6 Sol di OpenAI; Wiz ha combinato il suo agente Atlas con Gemini 4 Argon e GPT-5.6 Sol. La loro scoperta: due falle critiche, denominate collettivamente PHP2Shell, che potrebbero consentire a un attaccante non autenticato di eseguire codice su un server vulnerabile.1
I bug erano rimasti in PHP per anni, anche perché creare un exploit un tempo richiedeva una catena insolitamente complessa di passaggi tecnici. L'avvertimento di Wiz era netto: l'IA ora può adattare un exploit a «diverse versioni di PHP, configurazioni e layout di memoria».2 Ciò ha reso la divulgazione coordinata non tanto un normale aggiornamento software quanto una corsa contro il tempo.
Quando i dettagli sono trapelati prima della pubblicazione prevista, la PHP Foundation ha anticipato le patch a mercoledì mattina. A governi e aziende è stato detto di aggiornare immediatamente o mettere i sistemi offline. La prima ministra giapponese, Sanae Takaichi, ha chiesto un'azione urgente, affermando che una sospensione temporanea potrebbe essere un modo efficace per ridurre il rischio quando applicare rapidamente le patch era impossibile.3
Le chiusure si sono estese dai servizi pubblici finlandesi e olandesi ai siti del governo britannico, mentre le aziende affrontavano la stessa interruzione. Per Kalle Pusa a Helsinki, persino organizzare il ritiro di un vecchio divano ha dovuto aspettare: i servizi digitali essenziali, ha detto, sono «intrecciati nel tessuto della nostra società», e quel tessuto era stato lacerato.4
Gli attaccanti si sono mossi rapidamente. Cloudflare ha registrato migliaia di tentativi di exploit prima della divulgazione, poi decine di migliaia entro 45 minuti, centinaia di migliaia entro due ore e infine milioni.4 Eppure il quadro restava controverso: la PHP Foundation ha detto di non avere prove di exploit funzionanti, mentre la telemetria di Amazon ha segnalato un tentativo di sfruttamento di PHP2Shell prima della patch.5
Per gli utenti, l'onere immediato ricade sugli operatori dei siti, sebbene gli specialisti della sicurezza avvertano che i servizi compromessi potrebbero esporre dati personali. Una risposta pratica è già in fase di commercializzazione: Aravind Srinivas ha detto che Computer offriva crediti per verificare le vulnerabilità PHP, con uno strumento che analizza siti e configurazioni di distribuzione e dà priorità alle correzioni.
6