Storia
27 ott 2026
L'IA ha scoperto PHP2Shell per prima, poi Internet ha avuto ore per reagire
L'episodio PHP2Shell ha offerto una rara vittoria difensiva ai ricercatori di IA, che hanno scoperto una pericolosa falla prima che si verificassero danni diffusi. Ma la fuga di notizie prima che le patch fossero pienamente disponibili ha mostrato perché i team di sicurezza, i governi e le piccole imprese vedono la stessa tecnologia come una forza che sta comprimendo ogni finestra di risposta.
Ad agosto, i ricercatori di Calif, lavorando con OpenAI e Wiz di Google, hanno utilizzato indipendentemente sistemi di IA avanzati per scoprire falle correlate in PHP, il linguaggio web che si stima sia alla base di circa il 70% dei siti web. Presso Wiz, un agente IA ha individuato la debolezza di PHP mentre verificava se un problema di WordPress potesse interessare Drupal: un apparente errore che si è rivelato reale. «I modelli tendono ad allucinare», ha affermato il ricercatore Sagi Tzadik, ma questo aveva portato alla luce un bug sopravvissuto per più di un decennio.1
I team hanno segnalato i difetti e si sono uniti ai manutentori di PHP in uno sforzo coordinato per sviluppare una correzione. Il lavoro è stato insolitamente collaborativo: circa 15 ricercatori di organizzazioni concorrenti si scambiavano risultati quasi ogni giorno, ha detto Tomer Schwartz di Wiz, in un processo «basato semplicemente sulla fiducia».1 Il loro successo comportava anche un proprio avvertimento: l'IA può comprimere mesi di ricerca sulle vulnerabilità in giorni o persino ore, offrendo agli aggressori la stessa accelerazione una volta che i dettagli diventano pubblici.
Quella pressione è arrivata prima del rilascio previsto. La notizia delle vulnerabilità si è diffusa online, costringendo i manutentori di PHP ad anticipare la patch. Un video di Calif che dimostrava involontariamente l'exploit ha poi contribuito ad alimentare attività di imitazione. Cloudflare ha registrato migliaia di tentativi di sfruttamento prima della divulgazione; entro 45 minuti, il numero aveva raggiunto decine di migliaia, poi centinaia di migliaia entro due ore e infine milioni.2
Mercoledì e giovedì, governi e aziende da Helsinki a New York stavano mettendo servizi offline mentre applicavano gli aggiornamenti. La Gran Bretagna ha dichiarato che 32 servizi governativi erano stati chiusi per precauzione, mentre il disservizio in Finlandia ha interessato attività quotidiane. «Si potrebbe dire che gran parte del tessuto è stata lacerata», ha detto lo sviluppatore di Helsinki Kalle Pusa, riferendosi alla dipendenza dai servizi pubblici online.3
La risposta difensiva è diventata rapidamente commerciale e pratica: l'amministratore delegato di Perplexity Aravind Srinivas ha affermato che la sua azienda offriva crediti per controlli che identificano siti PHP esposti e stabiliscono le priorità delle riparazioni.
4 Eppure, i professionisti della sicurezza sostengono che applicare le patch da solo non possa tenere il passo. Un esperto ha avvertito che l'IA consente anche ad aggressori poco qualificati di sfruttare falle gravi «nel giro di minuti», interrompendo il tradizionale ciclo di correzione.5
Il divario è più netto per le organizzazioni più piccole. L'ex funzionario statunitense della cybersicurezza Chris Krebs ha esortato le aziende a eseguire scansioni continue, applicare rapidamente le patch o mettere offline i sistemi legacy; le grandi imprese possono disporre di strumenti avanzati, ma le piccole aziende possono avere difficoltà a rispondere.6 PHP2Shell è stato contenuto prima della catastrofe, ma ha reso più facile immaginare la prossima corsa.