Storia
27 ott 2026
L'IA ha scoperto le falle nascoste di PHP, ma una fuga di notizie ha trasformato la correzione in una corsa
I ricercatori e le agenzie informatiche considerano l'IA un vantaggio necessario per individuare falle nascoste prima dei criminali, mentre la corsa per PHP ha mostrato che una scoperta più rapida serve a poco se divulgazione e applicazione delle patch non riescono a tenere il passo. Per gli operatori di siti web, la lezione era meno teorica: applicare rapidamente le patch, oppure andare temporaneamente offline.
All'inizio di agosto, il ricercatore di Wiz Sagi Tzadik ha chiesto a un agente IA di verificare se una debolezza individuata in WordPress potesse essere applicabile a Drupal. L'agente ha fallito in quel compito, ma ha portato alla luce una falla di PHP che apparentemente era rimasta inosservata per più di un decennio. Tzadik inizialmente dubitava del risultato: «I modelli tendono ad allucinare». L'exploit ha comunque funzionato.1
Un team separato di Calif, che lavorava con OpenAI, ha individuato una vulnerabilità correlata. Le scoperte hanno dato ai difensori un insolito vantaggio iniziale. Wiz, Calif e i manutentori di PHP hanno formato un gruppo informale di circa 15 ricercatori, condividendo risultati e sviluppando una patch per settimane in quello che il CTO di Wiz, Tomer Schwartz, ha definito un processo «basato solo sulla fiducia».1 Il loro ottimismo si fondava su una dura realtà: l'IA può comprimere mesi di ricerca sulla sicurezza in ore o giorni, ma può anche offrire agli aggressori la stessa accelerazione.
Quel pericolo è diventato immediato a ottobre. PHP è alla base di circa il 70% dei siti web e le falle potevano consentire a un aggressore non autenticato di eseguire comandi sui server vulnerabili. Il problema era nel core di PHP, non nel codice di un singolo sito, il che significa che una pagina non aggiornata di una piccola impresa poteva presentare la stessa esposizione di fondo di una grande istituzione.2
Poi il piano di divulgazione coordinata ha iniziato a sgretolarsi. I dettagli hanno cominciato a circolare prima della pubblicazione prevista; Calif ha pubblicato accidentalmente un video dimostrativo e la PHP Foundation ha accusato Chainguard di aver violato l'embargo. Governi e aziende hanno messo siti offline anziché rischiare un'intrusione. Cloudflare ha registrato migliaia di tentativi di exploit prima dell'annuncio, poi decine di migliaia entro 45 minuti, centinaia di migliaia entro due ore e infine milioni.3
Le autorità hanno sottolineato che si trattava di tentativi, non della prova di compromissioni di massa. L'agenzia tedesca per la sicurezza informatica ha dichiarato di non aver osservato sfruttamenti riusciti, mentre la prescrizione dell'agenzia olandese era lapidaria: «applicare patch, applicare patch e applicare patch».3 Per gli utenti comuni, visitare un sito vulnerabile non infetta di per sé un dispositivo; l'onere immediato ricade sugli operatori e sui provider.4
L'episodio PHP non è isolato. Il presidente di OpenAI Greg Brockman ha separatamente divulgato il lavoro su una falla di esecuzione di codice da remoto nella libreria di compressione Brotli, ampiamente distribuita, definendola un esempio di quanto possa essere difficile coordinare l'applicazione delle patch a valle.
5 La competizione emergente è chiara: l'IA può aiutare a trovare per prima le crepe più vecchie di Internet, ma i difensori devono chiuderle prima che la divulgazione trasformi la scoperta in una mappa per gli aggressori.