La crisi è iniziata ad agosto, quando team di ricerca separati di Wiz e Calif, lavorando con modelli avanzati di IA, hanno scoperto falle correlate nascoste nel codice principale di PHP da oltre un decennio. I bug potevano dare a un esterno un controllo a livello di comandi su un server web privo di patch: una prospettiva seria per un linguaggio che si stima sia alla base di circa il 70% del web.¹

Per i ricercatori, questa era la prova che l'IA può rafforzare il versante difensivo. Il ricercatore di Wiz Sagi Tzadik ha affermato che gli agenti possono comprimere «mesi di ricerca tradizionale» in giorni o persino ore, sebbene gli esseri umani abbiano comunque dovuto trascorrere giorni a comprendere e riprodurre il bug.¹ I manutentori di PHP, società di sicurezza concorrenti e altri specialisti hanno poi trascorso settimane a lavorare a una patch nell'ambito di una divulgazione coordinata.

Quel processo ordinato si è fratturato questa settimana. I dettagli hanno iniziato a circolare prima della pubblicazione prevista e la PHP Foundation ha dichiarato che Chainguard aveva «rotto unilateralmente l'embargo», compromettendo settimane di coordinamento.² Il CEO di Chainguard Dan Lorenc ha dichiarato di aver agito perché riteneva che lo sfruttamento fosse già in corso; altri hanno contestato questa valutazione. Il risultato è stato l'incubo che i difensori speravano di evitare: indizi pubblici, correzioni incomplete e una lista di obiettivi in rapida espansione.

Cloudflare ha registrato migliaia di tentativi di exploit prima dell'annuncio, poi decine di migliaia entro 45 minuti, centinaia di migliaia entro due ore e infine milioni. Governi e aziende dall'Europa all'Asia hanno disattivato servizi mentre applicavano gli aggiornamenti.³ Per il responsabile cyber olandese Matthijs van Amelsfort, la prescrizione immediata era brutalmente semplice: «patch, patch e patch».²

I funzionari hanno sottolineato che i tentativi non equivalgono a violazioni confermate e che i normali visitatori non devono applicare patch ai loro telefoni semplicemente per navigare su un sito PHP. Il rischio urgente riguarda gli operatori dei siti web: un server privo di patch potrebbe esporre dati, essere modificato o diventare una piattaforma di lancio per attacchi altrove.⁴

La risposta sta già venendo trasformata in prodotto. Aravind Srinivas ha affermato che venivano offerti crediti Computer per verificare l'esposizione dei siti a PHP, un esempio dell'IA impiegata tanto per la bonifica quanto per la scoperta.Aravind Srinivas (AravSrinivas)⁵ Tuttavia, l'avvertimento più profondo rimane: OpenAI si aspetta che scoperte simili aumentino drasticamente, mentre il manutentore di patch PHP Ondřej Surý ha definito questa situazione un «disastro in attesa di accadere» da molto tempo.⁶