Modelli di IA hanno scoperto quello che OpenAI definisce "uno dei bug di sicurezza più gravi" degli ultimi anni, nascosto in PHP da oltre dieci anni. Dal tracker del sonno di Pokémon al parlamento olandese, siti spenti in tutto il mondo per prevenire attacchi hacker.
L'intelligenza artificiale ha portato alla luce due gravi falle di sicurezza in PHP, il linguaggio di programmazione che, lontano dai riflettori, alimenta la maggior parte di internet, costringendo organizzazioni di tutto il mondo a correre a spegnere siti web prima che i pirati informatici possano sfruttarle.
PUBBLICITÀ
PUBBLICITÀ
I bug sono rimasti nascosti nel codice di PHP per oltre un decennio. Ci sono voluti i modelli di IA più avanzati di OpenAI e Google per trasformare una debolezza sospettata da tempo in un attacco funzionante. Ora è iniziata una corsa contro il tempo per chiudere la porta.
Mentre le capacità in rapida evoluzione dell'IA alimentano i timori per una nuova era di attacchi informatici, ecco che cosa c'è da sapere.
Le reazioni in Europa
I Paesi Bassi hanno disattivato il sistema di identità digitale DigiD, il portale governativo Overheid.nl e il sito della camera bassa del parlamento; a ruota hanno seguito l'esempio il porto di Rotterdam, diversi ospedali e i cinque principali partiti politici del Paese.
Perfino il National Cyber Security Centre olandese ha spento il proprio sito.
Il fornitore informatico statale finlandese Valtori ha spento in blocco i servizi web del governo "come misura precauzionale"; il Ministero dell'Interno francese ha messo in modalità manutenzione i siti delle amministrazioni locali e il servizio informatico federale tedesco ITZBund ha disattivato diversi portali.
CERT-EU, il servizio di cybersicurezza delle istituzioni dell'UE, è andato oltre la maggior parte degli altri, invitando qualsiasi organizzazione impossibilitata a correggere subito la falla a togliere i siti da internet, invece di rischiare un attacco.
La Commissione europea, ENISA, CERT-EU, Europol e la rete europea dei centri nazionali di risposta agli incidenti informatici hanno pubblicato anche una dichiarazione congiunta esortando le organizzazioni ad agire immediatamente, dando priorità ai sistemi esposti su internet.
Che cos'è PHP e perché è importante?
Sviluppato all'inizio degli anni Novanta, PHP era in origine l'acronimo di Personal Home Page ed è il codice che gira dietro le quinte in circa sette siti su dieci, secondo la società di sicurezza Wiz Research, che lo definisce "una colonna portante del web".
Mentre linguaggi come HTML gestiscono ciò che vedete su una pagina, PHP gestisce ciò che non vedete, come la verifica degli accessi, l'elaborazione dei pagamenti, la distribuzione dei contenuti.
PHP è alla base di WordPress, Drupal e Joomla, le piattaforme che alimentano di tutto, dai blog personali ai negozi online fino ai portali governativi.
È proprio questa diffusione a trasformare due bug in un evento globale. Wiz afferma che ogni versione di PHP rilasciata nell'ultimo decennio è interessata da almeno una delle due falle e che persino una semplice pagina "Hello World" su un server non aggiornato può essere vulnerabile.
Mercoledì è stata rilasciata una correzione, con la PHP Foundation che ha avvertito i reparti IT di tutto il mondo che "se usate PHP, è fondamentale aggiornare subito".
Le versioni aggiornate sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Tutto ciò che è più vecchio non riceve più aggiornamenti ufficiali e va considerato esposto, a meno che un fornitore non abbia adattato la correzione, ha avvertito in una nota il team di risposta alle emergenze di cybersicurezza dell'Unione europea (CERT-EU).
Il risultato è stata un'ondata di app e siti che sono diventati irraggiungibili, dal sito della polizia di Parigi a un tracker del sonno di Pokémon, mentre gli sviluppatori correggono il codice sottostante. Tra quelli tolti temporaneamente dalla rete per precauzione ci sono anche numerosi siti governativi in tutta Europa.
Come ha fatto l'IA a trovare le falle?
Entrambe le vulnerabilità, catalogate come CVE-2026-109618 e CVE-2026-109619 e valutate 9,2 su 10 per gravità, si trovano nelle parti di PHP che quasi ogni richiesta tocca, cioè la gestione della memoria e la gestione degli errori.
Se una richiesta web raggiunge il limite di memoria di PHP nel momento sbagliato, il software può essere ingannato ed eseguire il codice di un attaccante senza alcun login.
La PHP Foundation riconosce che i propri sviluppatori hanno individuato i primi segnali del problema già nel 2024, durante un audit esterno.
Era stato abbozzato un exploit teorico, ma senza un percorso concreto verso un attacco e con un piccolo team centrale costretto a valutarne i compromessi, il lavoro si è trascinato per mesi tra stop e ripartenze. La fondazione ha definito questo ritardo "un fallimento strutturale".
Poi è entrata in gioco l'IA. In agosto, la società di sicurezza Calif, impegnata in un audit del codice sorgente di PHP finanziato da OpenAI e utilizzando il modello GPT-5.6 Sol di OpenAI, ha segnalato un attacco remoto pienamente funzionante con la stessa causa radice.
OpenAI ha segnalato in modo indipendente lo stesso problema lo stesso giorno. Due settimane dopo, Wiz ha individuato altri vettori di attacco utilizzando il proprio strumento Wiz Atlas insieme a Gemini 4 Argon di Google e a GPT-5.6 Sol.
I ricercatori di Wiz hanno scritto che "con i modelli di IA di frontiera e gli strumenti giusti, un singolo ricercatore ha fatto in una settimana ciò che prima avrebbe richiesto mesi di lavoro a un team di altissimo livello".
OpenAI ha definito la scoperta "una delle vulnerabilità più di impatto degli ultimi anni", aggiungendo che "segna una nuova fase, in cui l'IA può trovare bug di sicurezza con un impatto alla scala di internet".
I risultati sono stati tenuti riservati finché non è stata sviluppata una correzione.
Martedì pomeriggio, però, i due identificatori CVE sono trapelati su forum online e social network.
PHP ha anticipato la pubblicazione della patch di un giorno e Calif ha pubblicato per errore, per poi cancellarlo, un video che mostrava il proprio proof of concept all'opera contro diversi obiettivi, ha spiegato la PHP Foundation. Copie del video si sono diffuse rapidamente.
"Il problema con strumenti come l'IA è che, nel momento in cui tutte le informazioni sono là fuori, le persone possono trasformarle in armi molto, molto in fretta", ha dichiarato all'AFP Steve Kerrison, docente senior di cybersicurezza al campus di Singapore della James Cook University.
"Ecco perché tutti stanno reagendo con tanta urgenza a questo problema".
I siti sono già stati violati?
Non è detto. "Mettere offline i siti web non significa necessariamente che siano stati violati. Può essere una misura responsabile per proteggere i sistemi mentre si applicano gli aggiornamenti di sicurezza", ha dichiarato Dimitrios Salampasis della Swinburne University of Technology in Australia.
La PHP Foundation ha affermato che il proprio team di sicurezza ha analizzato il codice di proof of concept circolato dopo la fuga di notizie e, al momento del rilascio, non ha riscontrato exploit funzionanti.
"Gli elementi che i ricercatori di sicurezza stanno osservando indicano che nessuno stava ancora conducendo attacchi utilizzando le tecniche disponibili", ha aggiunto Kerrison.
Lo scenario però si sta evolvendo. Mercoledì la società di infrastrutture web Cloudflare ha riferito di aver osservato traffico di attacco diretto verso i propri clienti e CERT-EU ha avvertito che la circolazione pubblica di dettagli tecnici aumenta la probabilità che gli aggressori stiano già sondando le falle.
Le istituzioni più grandi, dalle agenzie governative ai media, dovrebbero essere in grado di applicare le patch relativamente in fretta. Altri potrebbero restare esposti molto più a lungo.
"Ci sono siti, sistemi e persone che non avranno la minima idea di tutto questo e non la avranno ancora per giorni, settimane o mesi", ha avvertito Kerrison.
Tra questi potrebbero esserci blog gestiti da privati e siti di piccole imprese, che i pirati informatici potrebbero dirottare per diffondere virus, inviare spam o ospitare contenuti malevoli.
Ci possono essere altre conseguenze?
Qualsiasi violazione dei dati potrebbe tornare a perseguitare gli utenti molto tempo dopo la patch, se le loro informazioni personali venissero raccolte per attacchi di phishing, in cui qualcuno viene indotto a cedere una password o i dati di pagamento.
La natura intricata e interconnessa dei sistemi online significa anche che il rischio non finisce quando si aggiorna il proprio server. Molti siti si appoggiano a servizi di terze parti che a loro volta possono usare PHP.
Se queste terze parti ritarderanno le patch, "allora anche se avete aggiornato voi stessi... resterete comunque vulnerabili", ha spiegato Rahat Masood, docente senior di cybersicurezza all'Università del New South Wales a Sydney.
PHP non è tutta la storia, ha aggiunto Kerrison. Una cybersicurezza solida prevede più livelli di difesa, in modo che una serratura rotta non apra tutte le porte.
La PHP Foundation, da parte sua, sta sfruttando l'episodio per lanciare un appello mirato. Il linguaggio alimenta servizi governativi, banche e negozi online in tutto il mondo, ma la sua sicurezza si regge ancora su un piccolo gruppo di sviluppatori finanziati dalla fondazione e su volontari.
Gli strumenti oggi possono trovare bug più rapidamente che mai, ha aggiunto, ma decidere come correggerli senza mandare in tilt il web richiede ingegneri esperti.