Il contesto: PHP, un pilastro vulnerabile

PHP è il linguaggio di scripting più diffuso per lo sviluppo web, alimentando piattaforme come WordPress, Drupal e Joomla. Stime recenti indicano che circa il 70 % di tutti i siti internet utilizza PHP, spesso in versioni che risalgono a più di dieci anni fa. Questa diffusione massiccia è una benedizione per gli sviluppatori, ma anche una maledizione per la sicurezza: più è ampio l’attacco di superficie, più è probabile che emergano vulnerabilità nascoste.

Nel corso della scorsa settimana sono state scoperte due vulnerabilità critiche (CVE‑2024‑XXXX e CVE‑2024‑YYYY) che hanno costretto numerose organizzazioni a mettere offline i propri servizi finché non è stato applicato un patch. Il problema non è stato isolato a un singolo sito: grandi aziende, startup e piccoli commercianti hanno dovuto intervenire in tempi record, dimostrando la fragilità di un ecosistema basato su codice legacy.

L’impatto dell’AI nella scoperta delle vulnerabilità

Secondo Tomer Schwartz, CTO di Exposure Management & AppSec presso Wiz, l’AI ha accelerato notevolmente il ritmo con cui le nuove vulnerabilità vengono identificate e sfruttate. “Senza l’ausilio di modelli di intelligenza artificiale, non avremmo potuto scoprire questi bug in così poco tempo”, ha dichiarato durante il podcast Equity di TechCrunch.

Wiz ha impiegato un tool proprietario basato su Large Language Model (LLM) per generare migliaia di test case in poche ore. Il risultato è stato un “stress test” automatizzato che ha permesso di scoprire combinazioni di input non previste dagli sviluppatori originali, rivelando così le vulnerabilità.

Come funziona il testing automatizzato

    • Generazione di payload: l’LLM crea varianti di payload malevoli, includendo codici di iniezione, overflow e manipolazioni di sessione.
    • Esecuzione in sandbox: ogni payload viene eseguito in un ambiente isolato per valutare l’impatto senza compromettere sistemi reali.
    • Analisi dei risultati: i log vengono analizzati da algoritmi di clustering per identificare pattern di vulnerabilità ricorrenti.

Questa metodologia ha permesso a Wiz di testare “decine di idee” in un solo weekend, riducendo il tempo medio di scoperta da mesi a giorni.

Perché le vulnerabilità rimangono nascoste per anni

Una delle due falle è rimasta “in piena vista” per più di un decennio, ma è diventata sfruttabile solo di recente. La ragione principale è il cambiamento delle condizioni operative: l’aumento delle capacità computazionali, la diffusione di librerie di terze parti e l’adozione di nuove tecniche di attacco, come il “prompt injection” nelle interfacce AI, hanno modificato il profilo di rischio.

Nel caso specifico, la vulnerabilità riguardava una funzione di deserializzazione non adeguatamente sanitizzata. In passato, la maggior parte delle richieste HTTP non conteneva dati complessi sufficienti a scatenare un exploit. Con l’avvento di API più ricche e l’uso intensivo di JSON, gli attaccanti hanno trovato un vettore praticabile.

Coordinated disclosure e le sue implicazioni

Schwartz ha spiegato che le fughe di informazioni sono quasi inevitabili in un processo di “coordinated disclosure”. Quando più team – OpenAI, il gruppo di ricerca Calif, e gli sviluppatori di PHP – collaborano, aumenta il rischio che dettagli sensibili vengano divulgati prematuramente.

Wiz ha mitigato questo rischio preparando una “strategia di risposta rapida”: una volta identificata la vulnerabilità, hanno creato un pacchetto di patch automatizzate, avvisato i partner più critici e pubblicato una guida di mitigazione entro 24 ore. Questo approccio ha ridotto il tempo medio di esposizione da 90 giorni (media storica) a meno di 48 ore.

Chi è ancora a rischio?

Nonostante le patch siano disponibili, molte installazioni di WordPress, Magento e altri CMS rimangono vulnerabili perché gli amministratori non hanno aggiornato il core o i plugin. Secondo dati di W3Techs, più del 30 % dei siti WordPress utilizza versioni precedenti a 5.8, le quali includono le funzioni compromesse.

Per le piccole imprese, la minaccia è reale: un attacco di tipo ransomware o defacement può compromettere la reputazione e causare perdite economiche significative. Gli esperti consigliano di:

    • Verificare regolarmente la versione di PHP e aggiornare all’ultimo ramo stabile (al momento 8.3).
    • Abilitare il “automatic security updates” per i plugin più critici.
    • Implementare un Web Application Firewall (WAF) con regole specifiche per PHP.
    • Eseguire scansioni periodiche con strumenti di SAST/DAST basati su AI.

Strategie per costruire con la sicurezza in mente

Le startup hanno un vantaggio competitivo se integrano la sicurezza fin dalle fasi di progettazione. Schwartz suggerisce tre pilastri fondamentali:

    • DevSecOps integrato: includere controlli di sicurezza nel pipeline CI/CD, con test automatici che bloccano il merge in caso di vulnerabilità.
    • Threat modeling continuo: valutare regolarmente i rischi emergenti, soprattutto quando si aggiungono nuove dipendenze o si migrano a microservizi.
    • Formazione del team: addestrare gli sviluppatori a scrivere codice “secure by design”, ad esempio evitando la deserializzazione non necessaria e usando librerie di validazione affidabili.

In conclusione, il “Vulnpocalypse” è più di un semplice avviso: è un campanello d’allarme per l’intero ecosistema web. L’unione di AI, automazione e pratiche di sicurezza proattiva rappresenta l’unica via per contenere la proliferazione di vulnerabilità in un codice che, se non rinnovato, rischia di diventare obsoleto e pericoloso.