Storia
29 ott 2026
L'IA individua i punti deboli di PHP prima che il web possa correggerli
Ricercatori e specialisti della sicurezza vedono l'incidente PHP sia come un urgente problema di applicazione delle patch sia come un avvertimento: l'IA può scoprire falle a lungo nascoste più velocemente di quanto le organizzazioni possano riparare manualmente i sistemi che da esse dipendono.
Per anni, l'onnipresenza di PHP è rimasta in gran parte invisibile alle persone che navigavano sul web. Poi ricercatori assistiti dall'IA, lavorando con strumenti di OpenAI e Google, hanno scoperto gravi debolezze di lunga data nel linguaggio di scripting, usato da circa il 70% dei siti web.1
La scoperta ha trasformato una consueta incombenza software in un'emergenza. La scorsa settimana, due bug critici hanno costretto le organizzazioni a darsi da fare per correggere i sistemi interessati; alcune hanno messo offline i siti web anziché lasciarli esposti mentre venivano preparate le patch.2 La portata della risposta rifletteva non solo la diffusione di PHP, ma anche l'inquietante possibilità che codice obsoleto, distribuito su larga scala, possa contenere vulnerabilità semplicemente rimaste inosservate.
I ricercatori e il team di PHP si sono mossi insieme a OpenAI, Wiz e al gruppo di ricerca Calif per coordinare le correzioni. Ma l'incidente ha anche evidenziato i limiti di quel modello. Tomer Schwartz, CTO di Wiz per Exposure Management e AppSec, ha dichiarato che l'azienda «non avrebbe potuto trovare questi bug senza l'IA», dopo che strumenti personalizzati avevano testato decine di possibili idee nel corso di un fine settimana.2
Questa velocità è la tensione centrale. L'IA può offrire ai difensori un mezzo potente per esaminare il vecchio codice, ma può anche accelerare la scoperta — e potenzialmente lo sfruttamento — di nuove vulnerabilità. Secondo il resoconto della risposta, uno dei bug di PHP era rimasto «in bella vista per oltre un decennio» prima che il cambiamento delle condizioni lo rendesse sfruttabile.2
Per gli operatori dei siti, il messaggio immediato è meno futuristico: applicare tempestivamente le patch e verificare se il software alla base di un sito web sia stato davvero aggiornato. Per il settore della sicurezza, l'allarme PHP è una lezione più dura. La correzione manuale non può crescere di scala se le macchine iniziano a individuare falle estese all'intera internet alla velocità delle macchine.1