The Pulse
OpenAI afferma che l’IA ha contribuito a scoprire due vulnerabilità critiche in PHP
OpenAI afferma che Calif ha usato GPT-5.6 Sol per individuare una vulnerabilità critica in PHP, mentre Wiz ha scoperto autonomamente entrambe le vulnerabilità. PHP ha rilasciato correzioni per due vulnerabilità che possono consentire l’esec
AI.info Team · Scritto con l’IA · verificato ·
I responsabili della manutenzione di PHP hanno rilasciato aggiornamenti di sicurezza d’emergenza il 21 ottobre, dopo che alcuni ricercatori hanno individuato due vulnerabilità critiche nel nucleo del linguaggio che possono consentire ad aggressori non autenticati di eseguire codice sui server interessati. OpenAI afferma che i ricercatori di Calif hanno usato il suo modello GPT-5.6 Sol per individuare una delle vulnerabilità; la società di sicurezza Wiz le ha scoperte e segnalate entrambe in modo indipendente. OpenAI afferma che, per quanto ne sa, l’IA di frontiera ha individuato le vulnerabilità prima degli aggressori.
Due vulnerabilità nella gestione delle richieste di PHP
Le vulnerabilità riguardano PHP stesso, non un particolare sistema di gestione dei contenuti o plugin. Secondo l’avviso di sicurezza di PHP, una delle vulnerabilità può manifestarsi quando una condizione di memoria esaurita interrompe l’elaborazione di una richiesta mentre i dati interni sono inizializzati solo in parte. L’altra riguarda uno stato relativo alla richiesta che può rimanere accessibile dopo che la memoria su cui si trova è stata liberata.
PHP ha assegnato alle vulnerabilità i codici CVE-2026-109618 e CVE-2026-109619, ciascuna con un punteggio CVSS v4.0 di 9,2. Il progetto afferma che le installazioni che gestiscono richieste web sono a rischio, comprese PHP-FPM, mod_php di Apache, php-cgi, FrankenPHP e LiteSpeed; indica mod_php come la configurazione a più alto rischio per una modalità di attacco dimostrata. Wiz afferma che i suoi ricercatori hanno combinato le vulnerabilità in un exploit e dimostrato l’esecuzione di codice da remoto senza autenticazione contro installazioni di WordPress, Drupal e Joomla, sottolineando però che le vulnerabilità alla base dell’attacco sono in PHP, non in quelle applicazioni.
I responsabili della manutenzione hanno rilasciato correzioni per le versioni supportate
Il progetto PHP ha rilasciato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 con le correzioni e ha esortato gli utenti ad aggiornare immediatamente. Le distribuzioni Linux e i fornitori di supporto a lungo termine hanno ricevuto le patch in anticipo, quindi gli amministratori che usano pacchetti forniti da questi ultimi dovrebbero verificare la disponibilità della versione aggiornata appropriata. PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti dal progetto, anche se alcune distribuzioni e alcuni fornitori mettono a disposizione correzioni applicate retroattivamente.
PHP presenta le modifiche temporanee alla configurazione come modi per ridurre l’esposizione a particolari modalità di attacco, non come una soluzione completa. Il suo avviso di sicurezza afferma che l’aggiornamento è l’unica soluzione completa. OpenAI ha anche pubblicato uno strumento per verificare la versione di PHP sotto forma di skill di Codex, per aiutare i gestori dei sistemi a individuare le versioni che potrebbero richiedere attenzione.
La scoperta tramite IA è stata seguita da una risposta coordinata
OpenAI afferma che la sua iniziativa Patch the Planet ha riunito, nell’arco di circa due mesi, responsabili della manutenzione, ricercatori e fornitori di servizi di sicurezza. I responsabili della manutenzione di PHP hanno guidato il lavoro sulle correzioni e il loro rilascio, mentre OpenAI, Wiz, Cloudflare e altri partner hanno contribuito con attività di ricerca, supporto tecnico e preparazione alla divulgazione. OpenAI afferma inoltre di aver collaborato con agenzie governative statunitensi e partner internazionali per favorire la diffusione delle indicazioni di sicurezza.
«Per quanto ne sappiamo, l’IA di frontiera ha individuato queste vulnerabilità prima degli aggressori, aprendo una finestra di vantaggio per chi difende, durante la quale i responsabili della manutenzione e i fornitori di servizi di sicurezza hanno potuto preparare correzioni e protezioni prima della divulgazione.»
OpenAI
Questa affermazione è qualificata: OpenAI dice «per quanto ne sappiamo», anziché sostenere che nessun aggressore avesse scoperto le vulnerabilità. Nel suo resoconto separato, Wiz afferma che i suoi ricercatori hanno usato Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol durante la ricerca e descrive l’IA come uno strumento che ha contribuito a rendere praticabili lo sviluppo e l’adattamento di exploit complessi. Le comunicazioni mostrano come diversi gruppi e strumenti abbiano contribuito a individuare e verificare le vulnerabilità; non dimostrano che un solo modello abbia scoperto entrambe da solo.
L’aggiornamento è la verifica immediata
OpenAI afferma di essersi impegnata a fornire accesso sovvenzionato a Daybreak per un valore di 1 miliardo di dollari alle organizzazioni con risorse di sicurezza limitate che proteggono servizi essenziali. Sostiene inoltre che le future segnalazioni di vulnerabilità richiederanno il coordinamento tra i responsabili della manutenzione del software, i distributori, i fornitori di hosting e chi si occupa della difesa, affinché correzioni e protezioni possano essere preparate prima della divulgazione pubblica. Per chi gestisce PHP, l’indicazione immediata è meno astratta: individuare l’ambiente di esecuzione in uso e installare l’aggiornamento di sicurezza applicabile.