Nel luglio 2026, due gruppi di ricerca indipendenti hanno scoperto due falle di corruzione della memoria nel motore di PHP, denominate PHP2Shell e registrate come CVE‑2026‑109618 e CVE‑2026‑109619. La prima è stata individuata da Ryan Austin, ricercatore presso Calif, nell’ambito del programma “Patch the Planet” di OpenAI, utilizzando il modello GPT‑5.6 Sol. Un secondo team, che ha poi aderito a Google Cloud, ha replicato gli stessi bug con Gemini 4 Argon, GPT‑5.6 Sol e lo strumento interno Wiz Atlas.

Caratteristiche tecniche delle vulnerabilità

Le due vulnerabilità non riguardano plugin o logiche di autenticazione, ma la gestione interna da parte di PHP di condizioni di memoria insufficiente e di errori fatali. In pratica, è possibile forzare l’esecuzione di codice a distanza senza alcuna autenticazione su piattaforme CMS diffuse come WordPress, Drupal e Joomla. Inoltre, le falle consentono una fuga di memoria remota, analoga al celebre Heartbleed, che può colpire qualsiasi applicazione basata su PHP.

Secondo gli stessi ricercatori, la gravità effettiva dipende da come ogni singola istanza di PHP è configurata; non tutti i deployment risultano vulnerabili allo stesso modo. Tuttavia, data la diffusione di PHP – che alimenta circa il 70 % del web – il potenziale impatto è enorme.

Procedura di scoperta con l’IA

    • Utilizzo di GPT‑5.6 Sol per generare input di test mirati al motore di PHP.
    • Analisi automatica dei risultati e identificazione di condizioni di memoria non gestite correttamente.
    • Verifica della possibilità di esecuzione di codice remoto e di leakage di dati.

Risposta coordinata e mitigazioni

OpenAI ha avviato una fase di correzione coordinata della durata di circa due mesi, coinvolgendo la PHP Foundation, i manutentori del linguaggio, fornitori di sicurezza e autorità governative. Il patch rilasciato richiede una modifica sostanziale del motore, applicata in tutti gli aggiornamenti successivi di PHP 8.3 e versioni successive.

Nel frattempo, Cloudflare ha pubblicato regole WAF temporanee, disponibili per tutti i clienti, inclusa l’offerta gratuita. Le regole, tuttavia, forniscono solo un “palliatif” e richiedono l’aggiornamento a 14 h UTC per diventare efficaci. La NSA ha consigliato di preparare un aggiornamento immediato o, nei casi più critici, di mettere offline i sistemi non aggiornabili in tempo.

Impatto sui CMS più diffusi

    • WordPress: milioni di siti potrebbero subire attacchi di esecuzione di codice remoto.
    • Drupal: vulnerabilità sfruttabile per inserire backdoor nei moduli core.
    • Joomla: rischio di perdita di dati sensibili tramite Heartbleed‑like leak.

Confronti e dibattiti sulla gravità

L’entità del pericolo è oggetto di discussione. Alcuni esperti paragonano PHP2Shell a Log4Shell o a Heartbleed, sottolineando la potenziale portata globale. Altri ritengono che il paragone sia esagerato, evidenziando che la divulgazione di vulnerabilità comporta sempre un elemento di comunicazione che può amplificare la percezione del rischio.

Le informazioni secondarie suggeriscono che dettagli delle vulnerabilità siano trapelati prima del rilascio del patch, ma non è chiaro quali fossero né quando siano stati divulgati.

Strategia di OpenAI nel settore cyber

L’incidente si inserisce nella più ampia strategia di OpenAI di promuovere l’uso responsabile dei propri modelli nell’ambito della sicurezza informatica. Due mesi prima, l’azienda aveva lanciato “Daybreak for Frontline Defenders”, un fondo da un miliardo di dollari destinato a fornire accesso ai modelli e ai prodotti di cybersicurezza a organizzazioni difensive.

Secondo la newsletter AINews, ci si può aspettare almeno un anno di scoperte critiche simili, ma è ingiusto attribuire la colpa a chi le individua. Il motivo è che i software critici stanno subendo l’audit di sicurezza più ampio della storia, e la risposta coordinata dell’ecosistema PHP – tra manutentori, fornitori di infrastruttura e agenzie pubbliche – rappresenta il massimo sforzo possibile.

Prospettive future e raccomandazioni

Rimane incerto quanto rapidamente gli attaccanti possano sfruttare i primi giorni dopo la pubblicazione del patch. La comunità dovrà monitorare attentamente eventuali tentativi di exploit e valutare l’efficacia delle regole WAF temporanee. Inoltre, il caso dimostra come modelli di IA concorrenti, come GPT‑5 di OpenAI e Gemini 4 di Google, possano individuare le stesse vulnerabilità critiche, accelerando la pressione sui tempi di risposta.

Per gli amministratori di sistemi, le raccomandazioni chiave sono:

    • Applicare immediatamente il patch del motore PHP non appena disponibile.
    • Abilitare le regole WAF di Cloudflare come misura di emergenza.
    • Monitorare i log di errore di PHP per rilevare segnali di corruzione di memoria.
    • Valutare la possibilità di aggiornare a versioni più recenti dei CMS, includendo plugin e temi.

In conclusione, l’emergere di PHP2Shell sottolinea l’importanza di un approccio collaborativo tra ricercatori, fornitori di IA e comunità open source per gestire le vulnerabilità emergenti in un panorama digitale sempre più complesso.