L'IA espone vulnerabilità critiche in PHP e attiva un allarme globale di cybersecurity

Una scoperta che ridefinisce la corsa alla cybersecurity

L'intelligenza artificiale ha segnato un prima e un dopo nel rilevamento delle vulnerabilità di sicurezza, rivelando due difetti critici in PHP, il linguaggio di programmazione che sostiene circa il 70% dei siti web nel mondo. Questi difetti, denominati PHP2Shell e identificati con i codici CVE-2026-109618 e CVE-2026-109619, permettevano agli attaccanti di prendere il controllo dei server senza la necessità di password. L'aspetto più allarmante è che questi bug erano rimasti nascosti nel codice per più di un decennio, un periodo durante il quale la capacità umana di auditare software di tale complessità si è rivelata insufficiente.

La scoperta è stata effettuata dai team di Wiz e Calif, un'azienda di sicurezza che collabora al programma Patch the Planet di OpenAI. Mentre Calif ha identificato il primo difetto il 1° agosto utilizzando il modello GPT-5.6 Sol, Wiz ha trovato il secondo in modo indipendente il 19 agosto impiegando Gemini 4 Argon e il proprio agente di ricerca. Secondo Wiz, un singolo ricercatore ha ottenuto in una settimana ciò che a un team d'élite avrebbe richiesto mesi, evidenziando come l'IA acceleri esponenzialmente l'identificazione dei rischi nel codice sorgente.

Risposta urgente di governi e settore finanziario

La divulgazione pubblica, avvenuta il 21 ottobre 2026, ha innescato una reazione immediata su scala globale. Data la gravità della minaccia, classificata con un punteggio di severità di 9.2 su 10, le agenzie di cybersecurity degli Stati Uniti, dell'Europa e dell'Asia hanno emesso allarmi critici. L'Agenzia per la Sicurezza Nazionale (NSA) degli USA ha avvertito che il difetto offriva una "via diretta" per sfruttare i database dei sistemi interessati, esortando le organizzazioni ad aggiornare PHP alle versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 o, in mancanza di ciò, a disconnettere i servizi dalla rete.

L'impatto è stato tangibile nel settore finanziario e governativo. In Giappone, banche come MUFG e Mizuho hanno sospeso temporaneamente le transazioni online e le applicazioni mobili come misura preventiva, sebbene la rete di liquidazione dei fondi nazionali non sia stata interessata. In Europa, le agenzie dei Paesi Bassi, Francia, Danimarca e Finlandia hanno spento siti web pubblici. Nel Regno Unito, il governo ha confermato che 32 siti sono stati disconnessi temporaneamente, mentre in Svizzera, l'Università di Ginevra e altre istituzioni hanno adottato precauzioni simili. Anche Wikimedia, l'organizzazione dietro Wikipedia, ha disattivato diversi suoi sistemi.

Il doppio taglio dell'IA nella cybersecurity

Sebbene l'IA sia stata lo strumento che ha permesso di scoprire questi difetti prima che venissero sfruttati su larga scala, pone anche nuovi rischi. OpenAI ha avvertito che gli stessi modelli in grado di trovare vulnerabilità possono aiutare gli attaccanti a sviluppare strumenti offensivi ed exploit con una rapidità senza precedenti. Matthew Prince, CEO di Cloudflare, ha riferito che nelle prime ore dopo la divulgazione, i tentativi di sfruttamento sono passati da migliaia a milioni in poche ore, sebbene al momento non siano stati confermati attacchi riusciti su larga scala.

Implicazioni per le aziende e gli utenti

Per le aziende, il rischio non si limita ai loro siti web principali. La CISA (Agenzia per la Sicurezza Cibernetica e delle Infrastrutture degli USA) ha indicato che PHP è un componente frequente nel software di terze parti, il che significa che le organizzazioni potrebbero non essere consapevoli di dove venga eseguito. Una banca potrebbe avere il suo sistema di transazioni centrale sicuro, ma il suo portale clienti o un fornitore di servizi esterno potrebbe essere esposto. Questo amplia il perimetro di sicurezza per includere interfacce di gestione dei dispositivi di rete, bilanciatori di carico e dispositivi embedded, aree spesso dimenticate negli audit di sicurezza.

Per gli utenti finali, l'impatto è indiretto ma richiede attenzione. Ken Munro, un hacker etico, ha paragonato l'applicazione delle correzioni a "eseguire un aggiornamento di Windows". I proprietari di siti web, in particolare quelli che utilizzano WordPress o Drupal, devono contattare i loro provider di hosting o sviluppatori per confermare che le patch siano state applicate al nucleo di PHP, poiché l'aggiornamento dei plugin non risolve il problema. Gli utenti devono essere attenti a possibili messaggi di phishing che sfruttino la notorietà dell'incidente e seguire le raccomandazioni di sicurezza emesse dai servizi che utilizzano.

Un nuovo paradigma nella protezione del software

Questo incidente segna un cambiamento di paradigma: la complessità del software moderno ha superato la capacità degli audit umani tradizionali. Come ha sottolineato Salil Kanhere, ricercatore della UNSW Sydney, "i bug sottostanti non erano nuovi; ciò che è cambiato è stata la nostra capacità di trovarli". La velocità con cui l'IA può identificare e potenzialmente sfruttare i difetti costringe le organizzazioni a ripensare le loro strategie di sicurezza, passando da un modello reattivo a uno in cui il rilevamento continuo e automatizzato è la norma. La lezione è chiara: la sicurezza digitale non è più solo una questione di codice, ma di capacità di adattamento tecnologico di fronte a strumenti che evolvono alla stessa velocità delle minacce.