Storia
27 ott 2026
L'IA ha scoperto la falla nascosta di PHP, poi ha costretto il web a una corsa alle patch
L'emergenza PHP ha mostrato il doppio volto dell'IA: ha aiutato i ricercatori a scoprire debolezze a lungo nascoste prima che gli aggressori potessero sfruttarle pienamente, ma ha anche ridotto il tempo a disposizione di ogni proprietario di siti web per reagire. I difensori lo definiscono un progresso per la sicurezza; le agenzie e i piccoli operatori lo vedono come un allarmante banco di prova per un internet costruito su codice datato e ampiamente condiviso.
L'allarme è iniziato ad agosto, quando ricercatori di sicurezza hanno utilizzato strumenti di IA avanzati per sondare vecchie infrastrutture web. Presso Wiz, un agente IA non è riuscito ad adattare una debolezza di WordPress a Drupal, ma ha invece fatto emergere una falla separata in PHP. Il ricercatore Sagi Tzadik inizialmente ha pensato che il modello si sbagliasse: “I modelli tendono ad allucinare.” Ciononostante, l'exploit ha funzionato, rivelando una debolezza rimasta inosservata per oltre un decennio.1
Questa scoperta comportava un'importante precisazione in mezzo alle affermazioni di una svolta ottenuta solo grazie all'IA: i ricercatori umani di Wiz e Calif dovevano comunque verificare, comprendere e segnalare responsabilmente i bug. Un gruppo di circa 15 persone ha poi lavorato tra aziende rivali e il progetto PHP per tracciare le falle e preparare una correzione, uno sforzo che Tomer Schwartz di Wiz ha descritto come “basato solo sulla fiducia.”1
Il processo coordinato ha iniziato a incrinarsi prima della pubblicazione prevista. I dettagli hanno iniziato a circolare online e il CEO di Chainguard Dan Lorenc ha diffuso informazioni in anticipo, affermando di ritenere che la falla fosse già sfruttata; la PHP Foundation ha dichiarato che la mossa ha violato l'embargo e ignorato settimane di coordinamento.2
Mercoledì e giovedì, le conseguenze erano visibili da Helsinki a New York. Governi e aziende hanno temporaneamente ritirato servizi dalla rete mentre applicavano la patch della PHP Foundation. Cloudflare ha dichiarato di aver osservato migliaia di tentativi di exploit prima della divulgazione pubblica, poi decine di migliaia entro 45 minuti, centinaia di migliaia entro due ore e infine milioni.3
Per i difensori, l'episodio è stato sia uno scampato pericolo sia una nuova realtà operativa. Un esperto di cybersicurezza ha avvertito che l'IA può consentire anche ad aggressori con scarse competenze di sfruttare bug critici in pochi minuti, rendendo "rotta" la sequenza tradizionale di valutazione dell'esposizione, assegnazione delle correzioni e applicazione delle patch.4 La risposta pratica rimane decisamente poco glamour: identificare i sistemi dipendenti da PHP, analizzarli e aggiornarli immediatamente, anziché presumere che ogni sito vulnerabile debba essere messo offline.
Le aziende di IA e i produttori di strumenti stanno già trasformando l'allarme in automazione difensiva. Aravind Srinivas ha dichiarato che la sua azienda offriva crediti per controlli delle vulnerabilità PHP, incluso uno strumento progettato per dare priorità alle correzioni.
5 Ma la tensione centrale rimane: l'IA può trovare più rapidamente le vulnerabilità per i buoni, garantendo però che, una volta trapelato un segreto, i cattivi possano correre altrettanto velocemente.