The Pulse

L’IA ha contribuito a trasformare vecchi bug di PHP in una corsa alle patch per il web

Milioni di tentativi di attacco hanno preso di mira vulnerabilità di PHP poche ore dopo la loro divulgazione pubblica, il 21 ottobre 2026, anche se la PHP Foundation ha dichiarato di non aver rilevato alcuno sfruttamento riuscito. Gli strum

AI.info Team · Scritto con l’IA · verificato · 2026-10-24

Milioni di tentativi di sfruttamento delle vulnerabilità hanno preso di mira sistemi PHP poche ore dopo la loro divulgazione pubblica, il 21 ottobre, secondo un’analisi di Cloudflare citata da WIRED. La PHP Foundation ha dichiarato di non aver rilevato alcuno sfruttamento riuscito delle vulnerabilità, note nel loro insieme come PHP2Shell. Il divario tra questi due dati mostra perché la situazione è diventata urgente: l’IA ha aiutato i ricercatori a capire come sfruttare debolezze note, almeno in parte, da anni, mentre gli aggressori si sono mossi rapidamente non appena i dettagli sono diventati pubblici.

Vecchie debolezze, attacchi ora praticabili

Le vulnerabilità riguardano PHP, il linguaggio di scripting utilizzato da una quota consistente dei siti web. I ricercatori di Calif le hanno individuate ad agosto, esaminando PHP con strumenti di IA e facendo leva sulla propria conoscenza del linguaggio. OpenAI afferma che Calif ha usato GPT-5.6 Sol nell’ambito della sua iniziativa Patch the Planet; i ricercatori di Wiz hanno individuato e segnalato entrambe le vulnerabilità in modo indipendente.

Alcuni dei problemi sottostanti erano emersi durante un audit di sicurezza di PHP nel 2024, ma allora i ricercatori non avevano dimostrato che fosse possibile sfruttarli concretamente. Nel suo resoconto, Calif riconduce uno dei problemi legati all’esaurimento della memoria a una segnalazione precedente e descrive come il team abbia usato un assistente di IA per esaminare la gestione della memoria in PHP e individuare percorsi per l’esecuzione di codice da remoto. La scoperta non è stata opera di un modello lasciato a cercare senza indicazioni: Calif afferma che il suo ricercatore ha attinto alla storia delle vulnerabilità di PHP e ha posto domande mirate.

L’IA ha accorciato il percorso dal bug al suo sfruttamento

Il cambiamento concreto non è consistito soltanto nell’individuare codice sospetto. Calif descrive ricercatori che hanno usato l’IA per ragionare su come l’esaurimento della memoria e l’interruzione delle operazioni di pulizia potessero lasciare PHP in uno stato vulnerabile, per poi estendere lo stesso schema ad altri percorsi. L’azienda afferma che i percorsi di attacco così individuati riguardavano diverse configurazioni di PHP, tra cui mod_php di Apache e PHP-FPM, e che in alcuni casi la possibilità di sfruttarli dipendeva dall’applicazione e dalla configurazione.

«La vulnerabilità era nota al team di PHP da anni, ma, poiché un aggressore non poteva sfruttarla — almeno, non un aggressore umano —, non è stata affrontata», ha detto a WIRED Sagi Tzadik, ricercatore di sicurezza di Wiz. Il suo resoconto indica un cambiamento in ciò che viene considerato una vulnerabilità sfruttabile: una debolezza che un tempo sembrava troppo difficile da trasformare in un attacco può diventare più urgente quando l’IA aiuta i ricercatori a individuare i passaggi necessari.

Ryan Austin, ricercatore di Calif, ha messo in guardia dal considerare il lavoro una scoperta autonoma. «Nessun modello è semplicemente in grado di scovare “tutti i bug” con prompt semplici. Almeno per ora», ha scritto nel resoconto della ricerca pubblicato dall’azienda. Le competenze umane, la conoscenza specifica del bersaglio e la verifica sono rimaste parte del processo.

Si è ridotto il tempo a disposizione prima della divulgazione

OpenAI afferma di essersi coordinata con chi mantiene PHP, con ricercatori e con fornitori di servizi di sicurezza per testare le correzioni e predisporre misure di protezione prima della divulgazione pubblica. L’azienda ha scritto: «Per quanto ne sappiamo, l’IA di frontiera ha trovato queste vulnerabilità prima degli aggressori», definendo il tempo a disposizione per preparare le patch una «finestra dei difensori». È la valutazione di OpenAI, non la prova che nessun aggressore avesse scoperto i bug in modo indipendente.

Una volta rese pubbliche le vulnerabilità, i tentativi di sfruttarle sono iniziati rapidamente. WIRED ha riferito che la PHP Foundation non aveva individuato attacchi riusciti, mentre nel proprio resoconto la Foundation ha descritto gli sforzi per preparare e rilasciare le correzioni in un clima di crescente attenzione pubblica. L’accelerazione delle scoperte può avvisare prima i difensori, ma lascia anche a chi mantiene PHP e a chi gestisce i sistemi meno tempo per coordinarsi prima che gli aggressori inizino a mettere alla prova i sistemi esposti.

Chi mantiene PHP e chi gestisce i sistemi devono affrontare i problemi arretrati

Il caso di PHP mette sotto pressione entrambe le parti coinvolte nella risposta. Chi mantiene PHP deve valutare le segnalazioni, definire correzioni che non compromettano la compatibilità e preparare i rilasci per le versioni supportate; le organizzazioni devono poi individuare quali server eseguono versioni di PHP interessate dalle vulnerabilità e applicare gli aggiornamenti. Il quadro di risposta proposto da OpenAI prevede di coinvolgere distributori e provider di hosting prima della divulgazione, affinché possano preparare aggiornamenti e misure di protezione temporanee.

Il compito immediato è applicare le patch ai sistemi che eseguono versioni vulnerabili di PHP, senza presumere che l’assenza di compromissioni confermate significhi assenza di esposizione. La Foundation ha dichiarato che il suo processo di gestione della sicurezza aveva dovuto affrontare difficili compromessi riguardo al problema precedente, mentre la ricerca assistita dall’IA ha reso più chiaro il percorso per sfruttare la vulnerabilità e ha portato la correzione in cima alle sue priorità. Quanti sistemi esposti a Internet usino ancora versioni vulnerabili o non più supportate, e quanto rapidamente chi li gestisce riesca ad aggiornarli, determina ora per quanto tempo resterà aperta la finestra a disposizione degli aggressori.