I modelli di intelligenza artificiale hanno aiutato a trovare due difetti critici di PHP. Ecco cosa dovrebbero fare i proprietari dei siti
GPT-5.6 Sol di OpenAI e Gemini 4 Argon di Google hanno contribuito a scoprire due gravi bug in PHP, il linguaggio dietro gran parte del web. Le patch usciranno il 21 ottobre.
Il 21 ottobre sono state scoperte due falle critiche nella sicurezza di PHP, il linguaggio di programmazione che gestisce un’enorme percentuale di siti web, e i modelli di intelligenza artificiale hanno svolto un ruolo importante nel trovarle. OpenAI afferma che il suo modello GPT-5.6 Sol ha aiutato il team di sicurezza di Calif a individuare uno dei bug come parte dell’iniziativa Patch the Planet. Separatamente, la società di sicurezza Wiz ha riscontrato entrambi i difetti da sola, utilizzando la sua piattaforma Wiz Atlas insieme a Gemini 4 Argon e GPT-5.6 Sol di Google. I manutentori di PHP hanno rilasciato le correzioni lo stesso giorno.
Wiz chiama gli insetti “PHP2Shell”. Si trovano nel motore principale di PHP e riguardano il modo in cui gestisce gli errori fatali, in particolare l’esaurimento della memoria. In parole povere: quando una richiesta si blocca gravemente, può lasciare dietro di sé un po’ di stato interno corrotto e la richiesta successiva gestita dallo stesso lavoratore potrebbe inciampare in esso. I bug vengono tracciati come CVE-2026-109618 e CVE-2026-109619, con una gravità fino a 9,2 su 10. Il risultato peggiore è l’esecuzione di codice remoto, il che significa che un estraneo potrebbe eseguire comandi sul tuo server senza effettuare l’accesso o leggere la memoria che potrebbe contenere password e API keys. Wiz afferma che quasi tutte le versioni PHP dell’ultimo decennio, a partire dalla 5.4, presentano almeno uno dei bug. Ha dimostrato l’attacco contro le attuali immagini dei contenitori WordPress, Drupal e Joomla, sebbene non riporti attacchi in natura.
La correzione è stata coordinata nell’arco di due mesi con gli sviluppatori di PHP, Wiz, Cloudflare e agenzie statunitensi, tra cui CISA. OpenAI ha anche pubblicato un piccolo strumento, php2shell-checker, che consente agli operatori di verificare la propria versione PHP. Cloudflare, Fastly e Vercel offrivano protezioni temporanee per le persone che non possono applicare subito le patch.
Cosa c’è dietro: la ricerca di bug come questi richiedeva molto tempo ai ricercatori specializzati. Frontier models ora velocizza la caccia, nonché il lavoro di trasformazione di un bug in un attacco funzionante e di verifica della validità della patch. Ciò taglia in entrambe le direzioni. Lo stesso OpenAI avverte che le stesse competenze aiutano gli aggressori, mentre Wiz afferma che gli exploit che una volta sembravano troppo costosi da realizzare sono ora a portata di mano. Vale la pena saperlo: le affermazioni sul contributo dell’intelligenza artificiale provengono dalle aziende coinvolte e nessuno dei due post fornisce molti dettagli sul metodo.
Cosa significa per te: se gestisci un sito web, un blog o un negozio online su PHP (WordPress conta), l’unica cosa che conta è l’aggiornamento. Chiedi al tuo provider di hosting se è stata applicata la versione di sicurezza PHP del 21 ottobre oppure esegui il controllo se gestisci il tuo server. L’applicazione delle patch è l’unica soluzione completa. Se visiti solo siti Web, non c’è nulla da fare e va bene. Per il resto di noi, la lezione è che le patch di sicurezza stanno per arrivare più velocemente e in lotti più grandi, quindi attivare gli aggiornamenti automatici è un’abitudine sensata.
Fonti
Fonti: https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
Reflection's Beam: un modello di codifica open-weight costruito negli Stati Uniti che puoi provare gratuitamente su Ollama
Reflection Il primo modello open-weight di AI, Beam, si rivolge alla codifica e agli agenti con una licenza Apache 2.0 ed è gratuito su Ollama Cloud per un periodo limitato.
