L'AI di OpenAI scopre un bug PHP vecchio di dieci anni, poi coordina la correzione
Una coppia di gravi vulnerabilità di sicurezza in PHP, il linguaggio di scripting che alimenta una vasta parte dei siti web mondiali, ha costretto questa settimana a una rara corsa globale. I bug sono stati scoperti con l’aiuto degli strumenti AI di OpenAI e poi corretti in una corsa coordinata che ha coinvolto manutentori del software, aziende di sicurezza, fornitori di cloud e agenzie nazionali di cybersecurity, secondo OpenAI e i ricercatori di sicurezza.
Le due vulnerabilità, raggruppate sotto il soprannome PHP2Shell e tracciate come CVE-2026-109618 e CVE-2026-109619, hanno entrambe ottenuto un punteggio di 9,2 su 10 sulla scala di gravità CVSS v4.0. Nel caso peggiore, un attaccante potrebbe eseguire codice arbitrario su un server vulnerabile, il che è quanto di più grave possa esserci nella sicurezza web. Si dice che i difetti siano rimasti nel codice per oltre un decennio.
La scoperta è avvenuta nell’ambito del programma Patch the Planet di OpenAI, un’iniziativa che affianca modelli AI a ricercatori di sicurezza per cercare debolezze in software open source ampiamente utilizzati. Si dice che la società di sicurezza Calif e l’azienda di sicurezza cloud Wiz abbiano individuato indipendentemente i problemi di PHP con l’assistenza dell’AI in agosto. Quello che è seguito è stato circa due mesi di lavoro silenzioso per preparare le correzioni prima che qualcuno potesse trasformare i bug in armi.
Quel piano è stato sconvolto quando i dettagli sono trapelati il 20 ottobre, apparentemente prima della data di rilascio coordinata. La fuga di notizie ha costretto i team operativi di PHP a una lunga notte, mentre gli amministratori si affrettavano a valutare l’esposizione e ad applicare le mitigazioni. La PHP Foundation ha rilasciato le patch ufficiali il 21 ottobre, e OpenAI ha pubblicato il suo resoconto dell’intero sforzo lo stesso giorno.
La storia è importante ben oltre i forum degli sviluppatori. PHP è alla base di sistemi di gestione dei contenuti, forum e negozi online in tutto il mondo, e le stime che circolano nei media tecnologici cinesi indicano una copertura di circa il settanta percento dei siti web. Una falla sfruttabile da remoto in quello strato è un rischio sistemico, non di nicchia, ed è per questo che fornitori di cloud e organismi governativi di sicurezza si sono uniti alla risposta.
Per OpenAI, Patch the Planet è anche una dichiarazione su come l’AI potrebbe cambiare la ricerca sulle vulnerabilità. Trovare bug su larga scala è tradizionalmente un lavoro lento e manuale. I modelli AI possono scansionare enormi basi di codice rapidamente, ma la parte più difficile è il meccanismo umano che segue: verificare i risultati, scrivere le patch, avvisare i fornitori e mantenere tutto segreto finché gli utenti non possono aggiornare. L’episodio di PHP ha messo alla prova quel meccanismo sotto la pressione della fuga di notizie.
L’episodio evidenzia anche una tensione crescente. La scoperta assistita dall’AI significa che emergeranno più difetti più rapidamente, e non ogni progetto ha i manutentori o le risorse per rispondere in fretta. Le norme di divulgazione coordinata, un tempo un angolo tranquillo del settore, stanno diventando un esercizio di logistica globale che coinvolge aziende e agenzie che raramente si parlano.
Per gli utenti comuni e le imprese, il consiglio pratico è invariato: aggiornare tempestivamente le installazioni PHP e il software dipendente, e prestare attenzione agli avvisi dei fornitori. Per il settore, la lezione potrebbe essere che l’AI è ormai parte della catena di approvvigionamento della sicurezza, e la corsa non riguarda più solo trovare i bug ma correggerli prima che Internet lo scopra.