The Pulse
L’IA porta alla luce 40 anni di debito software non saldato
Alcuni ricercatori, con l’aiuto dell’IA, hanno trasformato un bug di memoria noto da tempo in PHP in PHP2Shell, una vulnerabilità che potrebbe esporre dati sensibili e consentire l’esecuzione di codice sui server interessati. Il caso eviden
AI.info Team · Scritto con l’IA · verificato ·
Alla fine di ottobre, la vulnerabilità PHP2Shell ha esposto siti web, tra cui quelli della NASA, di Wikipedia e della Casa Bianca, al rischio di furto di dati ed esecuzione di codice malevolo sui loro server. I ricercatori hanno segnalato la falla alla PHP Foundation e una patch è stata rilasciata prima che gli attaccanti entrassero in possesso dell’exploit. IEEE Spectrum ha pubblicato il suo resoconto il 2 novembre, presentando l’episodio come un avvertimento sulla cybersicurezza assistita dall’IA.
Un bug che causava arresti anomali è diventato una via d’accesso ai server
PHP, creato nel 1994, è ampiamente utilizzato dai siti web più datati. La falla alla base di PHP2Shell era stata segnalata alla PHP Foundation nel 2024, ma sembrava causare un errore di memoria esaurita: un arresto anomalo del programma non di per sé pericoloso. Secondo il resoconto, questo tipo di bug può rimanere in fondo alla lista delle correzioni.
«Una delle cose a cui stiamo assistendo ora è che tutto il software datato scritto da esseri umani negli ultimi 40 anni viene messo a nudo», afferma Matt Suiche, responsabile della ricerca sulla sicurezza dell’IA presso Tolmo. «Ora è il momento di saldare il debito tecnico».
L’IA ha aiutato Calif a trasformare la falla in un exploit
In precedenza nel 2026, la società di cybersicurezza Calif si era offerta di esaminare PHP in modo indipendente, con OpenAI a finanziare il lavoro. Nel giro di due settimane, un ricercatore di Calif che utilizzava strumenti di IA ha trovato un modo per trasformare il bug di memoria esaurita in uno strumento per eseguire codice arbitrario su un server. Calif ha avvisato la PHP Foundation e la società di cybersicurezza Wiz ha confermato e ampliato le vulnerabilità.
Suman Jana, professore associato di informatica alla Columbia University, afferma che per sfruttare il bug è stato necessario capire dove saltare nella memoria di un programma, quali bit sovrascrivere e in quale ordine. «Il punto è che richiede molti ragionamenti molto specifici, faticosi da fare. E credo che l’IA abbia svolto un ottimo lavoro in questo», afferma.
Jana precisa che l’IA non ha svolto il lavoro da sola: i ricercatori avevano una conoscenza approfondita della cybersicurezza e di PHP. Secondo lui, l’IA può aiutare lo 0,1 per cento degli esperti più qualificati a fare di più e consentire a chi si trova appena al di sotto di quel livello di andare oltre senza conoscere ogni dettaglio tecnico.
Trovare le falle è più facile che correggerle
Dopo la divulgazione dell’exploit, quattro ingegneri hanno impiegato due mesi per sviluppare una patch. Jana descrive uno squilibrio tra la scoperta e la correzione dei bug: una correzione deve chiudere ogni parte di un attacco senza compromettere le funzioni esistenti. Questo onere è particolarmente gravoso per software open source come PHP, la cui manutenzione può essere difficile in assenza di fonti di reddito chiare.
Jana afferma che alcuni laboratori di IA di frontiera hanno donato parte delle loro dotazioni di token per indagare sui bug e sostiene che serva più supporto di questo tipo, attraverso iniziative coordinate o donazioni. Indica anche gli strumenti di verifica formale come un modo per contribuire ad automatizzare la creazione di patch. Descrive un sistema in cui un LLM genera una patch e un altro LLM genera una dimostrazione che la patch è corretta; un verificatore di dimostrazioni separato la controlla, perché gli LLM possono avere allucinazioni.
I ricercatori non concordano su cosa spingerà a investire di più
Matthew Green, professore associato di informatica presso il Johns Hopkins University Information Security Institute, è meno ottimista. Afferma che PHP2Shell non era abbastanza grave da stimolare finanziamenti su larga scala e prevede che un incidente peggiore, che colpisca le persone comuni, potrebbe riuscirci. Jana afferma che PHP2Shell non sarà l’ultimo caso del genere e spera che la prossima vulnerabilità venga trovata prima dagli hacker white hat.
Il consiglio immediato di Green è di installare tempestivamente gli aggiornamenti di sicurezza quando un telefono ne propone uno.