A metà agosto, ricercatori della società di IA Calif e di Wiz, di proprietà di Google, hanno identificato due gravi falle in PHP, il linguaggio vecchio di decenni utilizzato da circa il 70% dei siti web con programmazione lato server nota. I bug potevano consentire l’esecuzione di codice remoto senza autenticazione, permettendo di fatto a un intruso di eseguire codice su un server vulnerabile. Calif ha usato GPT-5.6 Sol di OpenAI; Wiz ha utilizzato una combinazione di strumenti di IA. ¹

Il pericolo non era solo che PHP fosse vulnerabile, ma che una debolezza ritenuta esistente da circa due decenni fosse diventata molto più facile da trasformare in un’arma. Wiz ha affermato che lo sfruttamento richiedeva un tempo una «catena di passaggi eccezionalmente complessa», al limite di ciò che i ricercatori umani potevano realizzare. ² Gli esperti di sicurezza sostengono ora che l’IA abbia ristretto il precedente margine tra divulgazione e attacco: il ricercatore di Tolmo Matt Suiche ha dichiarato che il suo team ha creato un exploit funzionante in meno di un giorno, un compito che in precedenza avrebbe potuto richiedere settimane. ¹

Poi la corsa alla divulgazione ha accelerato. I dettagli sono trapelati online prima della pubblicazione prevista, Calif ha pubblicato brevemente un video di proof-of-concept e la PHP Foundation ha anticipato la propria patch di un giorno. Amazon Threat Intelligence aveva già osservato un tentativo di exploit giorni prima; Cloudflare ha poi riferito che gli attacchi sono passati da migliaia prima della divulgazione a milioni dopo. ³

Entro mercoledì e giovedì, la risposta difensiva è diventata visibile agli utenti comuni. I governi di Finlandia, Paesi Bassi, Gran Bretagna, Germania e Giappone hanno messo offline servizi o invitato le aziende a farlo; imprese e piattaforme hanno seguito l’esempio mentre venivano installate le patch. Per le grandi istituzioni, un consulente per le piccole imprese ha definito l’interruzione un «piccolo ostacolo»; per le aziende più piccole, le interruzioni sono durate fino a sette ore. ⁴

Il consenso era: applicare prima le patch, ma senza panico. La PHP Foundation ha dichiarato di non avere prove di esecuzione riuscita di codice remoto, mentre Dataminr ha riferito di scansioni e exploit non funzionanti, anziché di compromissioni note. ⁵ Tuttavia, i siti legacy affrontano una scelta più difficile: le versioni di PHP non supportate potrebbero non disporre di correzioni ufficiali, rischiando la scomparsa permanente. In mezzo a quella corsa, Aravind Srinivas ha promosso crediti gratuiti per un controllo automatizzato dell’esposizione a PHP — un altro segnale che l’IA sta diventando parte del kit di riparazione oltre che del modello di minaccia. Aravind Srinivas (AravSrinivas)⁶