Il 20 ottobre php.net ha pubblicato un avviso: il giorno dopo sarebbe uscito un aggiornamento di sicurezza critico di PHP, il linguaggio di programmazione con cui funziona la parte nascosta della maggior parte dei siti web. Il 21 è arrivata la patch, nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, per due vulnerabilità registrate come CVE-2026-109618 e CVE-2026-109619 (CVE è il codice con cui si identifica una falla di sicurezza nota). In mezzo c’è stata una giornata intera in cui tutti sapevano che c’era una falla grave e nessuno aveva ancora la correzione.
E quella giornata si è vista. Nelle dieci ore prima dell’annuncio pubblico Cloudflare aveva già contato migliaia di tentativi di sfruttare la falla. Il suo amministratore delegato Matthew Prince ha poi riferito di decine di migliaia di tentativi nei 45 minuti dopo l’annuncio, centinaia di migliaia entro due ore e poi milioni. Alan Woodward, docente di sicurezza informatica, ha fatto notare sul Guardian che la falla è stata resa nota il giorno prima della patch: qualcuno ha parlato troppo presto.
Una falla vecchia di dieci anni, trovata con l’IA
La falla non è nuova, ed è questa la parte da capire. Il codice vulnerabile era lì da più di dieci anni, e tutte le versioni uscite nell’ultimo decennio hanno almeno una delle due falle. La gravità è 9,2 su una scala da zero a dieci. Wiz, una delle società che le ha scoperte, scrive che dimostrare come sfruttarle richiedeva una serie di passaggi al limite di quello che un ricercatore umano poteva fare da solo, e che i modelli di IA più avanzati hanno abbassato quella soglia. Nel suo resoconto il merito va a Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol.
La seconda scoperta, fatta da un’altra persona per conto suo, ridimensiona il miracolo. Ryan Austin, ricercatore della società Calif, ha cominciato a controllare il codice il 30 luglio e ha trovato la falla il primo agosto, dopo pochi giorni. Nel suo resoconto non c’è nessun laboratorio, nessuna infrastruttura speciale e nessun modello fuori dal commercio: solo un abbonamento a un’IA usata per leggere il codice insieme a lui, due settimane di pazienza e un file di appunti.
Sulla percentuale di siti coinvolti bisogna essere precisi, perché il 70 per cento che si legge nei titoli è arrotondato. Secondo la rilevazione di W3Techs del 30 ottobre PHP è usato dal 69,2 per cento dei siti, ma solo fra quelli di cui si sa con che linguaggio sono fatti. Resta comunque la maggioranza del web.
Come hanno reagito i governi
Nel Regno Unito la ministra per la sicurezza informatica Liz Lloyd ha riferito in parlamento che 32 servizi pubblici sono stati spenti per precauzione. Il centro nazionale per la sicurezza informatica ha mandato 50.000 avvisi, ha definito la vulnerabilità senza precedenti per dimensioni e ha detto di non sapere di nessun attacco andato a segno. Ciaran Martin, che quel centro lo ha diretto, la considera la peggiore degli ultimi cinque anni. Il primo ministro giapponese ha chiesto alle aziende di installare la correzione o spegnere i siti. E il giorno dopo lo stesso Austin diceva che per ora gli attacchi non sembravano aver avuto grande successo: una frase che nessun titolo ha ripreso, detta proprio da chi la falla l’aveva trovata.
La NSA, l’agenzia per la sicurezza nazionale americana, è stata meno prudente. Il 21 ottobre ha scritto che PHP2Shell, il nome dato alla coppia di falle, permette a un attaccante di prendere il controllo dei server colpiti senza nessun accesso e senza password. Secondo l’agenzia gli hacker ostili con ogni probabilità la useranno per attaccare, e il rischio basta a richiedere una patch immediata in tutti gli uffici federali.
A pagare sono scuole, piccoli comuni e associazioni, cioè chi non ha nessuno da chiamare alle due di notte. E il centro britannico ha aggiunto un dettaglio che peggiora le cose: su alcuni sistemi vecchi la patch non funziona affatto, e quei sistemi andranno sostituiti. Per un comune che non ha neanche un tecnico vuol dire una spesa che nessuno aveva messo a bilancio.
Di falle nei programmi che leggono testi al posto nostro ne avevamo già parlato nei browser con IA, e di patch che arrivano tardi per difetti che non dovevano esserci c’è il precedente Windows.
Per più di dieci anni quella falla è rimasta lì, nel codice, senza che nessuno la notasse. Il problema non è che l’IA abbia imparato a trovarla: è che quel codice era pubblico da dieci anni.
Immagini: RealToughCandy / Pexels, Digital Trends.
