Ad agosto, i ricercatori di Calif hanno utilizzato un modello avanzato di OpenAI per scoprire una falla profonda in PHP, il linguaggio lato server che si stima supporti circa il 70% dei siti web. La vulnerabilità, in seguito soprannominata PHP2Shell, potrebbe consentire a un aggressore non autenticato di eseguire comandi su un server web senza patch, mettendo a rischio dati, siti web e reti più ampie.¹

La scoperta ha inizialmente seguito la logica familiare della divulgazione coordinata: i ricercatori hanno avvisato la comunità PHP mentre veniva preparata una patch. Ma le informazioni hanno iniziato a circolare prima della pubblicazione prevista. La PHP Foundation ha dichiarato che Chainguard aveva «violato unilateralmente l'embargo», mentre il responsabile di Chainguard Dan Lorenc ha sostenuto di aver agito perché lo sfruttamento era già in corso — una disputa che ha messo in luce le fragili valutazioni alla base della moderna divulgazione delle vulnerabilità.²

Entro mercoledì, la patch era disponibile, ma lo era anche il panico. Cloudflare ha rilevato migliaia di tentativi di exploit prima della divulgazione pubblica; entro 45 minuti, il conteggio aveva raggiunto le decine di migliaia, poi le centinaia di migliaia entro due ore e infine i milioni. Si trattava di tentativi, piuttosto che di prove di compromissioni di massa, ma la velocità ha spinto governi e aziende a mettere offline i servizi durante l'aggiornamento.³ Un avviso ripubblicato affermava che lo sfruttamento riuscito era stato osservato su server honeypot, con aggressori che emettevano comandi shell per recuperare payload aggiuntivi.Aravind Srinivas (AravSrinivas)⁴

Le interruzioni sono state concrete. La Gran Bretagna ha messo offline 32 servizi governativi a titolo precauzionale; sono stati colpiti anche siti web pubblici in Finlandia, Germania, Giappone e Paesi Bassi. Per le grandi organizzazioni, l'interruzione poteva essere un «piccolo intoppo», ha detto un fornitore per piccole imprese, ma alcune aziende più piccole sono rimaste offline fino a sette ore.³

I funzionari della sicurezza considerano l'incidente qualcosa di più di una settimana negativa per PHP. L'IA può ispezionare enormi basi di codice e trovare bug che gli esseri umani hanno mancato per anni, ma le stesse capacità possono aiutare aggressori meno esperti a passare dalla divulgazione allo sfruttamento in pochi minuti. L'agenzia informatica tedesca ha definito il mettere offline i siti una «misura davvero drastica», ma ha detto che l'accelerazione dell'IA significava che «dovevamo farlo».²

Il consenso pratico era netto: applicare le patch rapidamente. Il consiglio dell'agenzia informatica olandese era «patch, patch e patch».² Sono rapidamente comparsi nuovi strumenti per aiutare gli amministratori a verificare l'esposizione, inclusa un'offerta di crediti per controlli delle vulnerabilità PHP.Aravind Srinivas (AravSrinivas)⁵ La crisi immediata potrebbe essersi attenuata, ma la corsa tra scoperta automatizzata e abuso automatizzato si è chiaramente intensificata.