Che cosa è successo
Il 21 ottobre è stata resa pubblica una grave vulnerabilità nel linguaggio di programmazione PHP, alla base di milioni di siti web, secondo quanto riporta The Guardian. La falla potrebbe essere rimasta non corretta per anni, esponendo a rischio intrusioni una quota di siti che alcuni esperti citati dalla fonte stimano nel 70% del totale. L'episodio è stato definito "Black October" e, secondo il giornale, segna la prima volta in cui i ricercatori hanno usato strumenti di intelligenza artificiale per individuare un difetto tanto fondamentale e critico in questo ambito.
La scoperta non è rimasta isolata: dopo l'annuncio, siti governativi e privati negli Stati Uniti e nel Regno Unito hanno temporaneamente sospeso le attività per applicare le patch. L'Agenzia per la sicurezza nazionale statunitense (NSA) ha diramato un avviso chiedendo a ogni sito basato su PHP di installare subito gli aggiornamenti, avvertendo che attori malevoli potrebbero sfruttare le falle per accedere ai server senza autorizzazione, sottrarre dati sensibili, interrompere servizi o penetrare più a fondo nelle reti. Secondo i ricercatori della piattaforma di sicurezza Wiz, citati dal Guardian, si tratta di una delle vulnerabilità più gravi mai scoperte in PHP e, a loro giudizio, nella storia del software: i difetti sarebbero presenti da decenni, ma dimostrarne la sfruttabilità richiedeva una catena di passaggi così complessa da essere al limite delle capacità umane.
L'allarme dei dirigenti tech
A fare da cassa di risonanza sono stati i vertici di alcune grandi aziende tecnologiche, le cui dichiarazioni sono riportate dalla fonte. Sam Altman ha affermato che non ritiene più possibile correggere tutte le falle. Jason Clinton, vice responsabile della sicurezza informatica di Anthropic, ha previsto per i prossimi mesi uno "tsunami di vulnerabilità", sostenendo che non ci sarà tempo sufficiente per mettere in sicurezza le infrastrutture critiche. Marc Benioff, amministratore delegato di Salesforce, ha parlato di un "code red".
Matthew Prince, amministratore delegato di Cloudflare, ha spiegato che l'AI è in grado di individuare i difetti con una velocità e una modalità che appariranno catastrofiche, perché la comunità della sicurezza non riuscirà a stare al passo. Nei prossimi due anni, ha scritto, arriveranno strumenti con una pazienza infinita nel cercare vulnerabilità su Internet. La stessa azienda ha fornito un dato concreto sulla corsa allo sfruttamento: nelle dieci ore precedenti l'annuncio erano stati rilevati tentativi di attacco nell'ordine delle migliaia, saliti a decine di migliaia nei 45 minuti successivi, a centinaia di migliaia entro due ore e ora a milioni.
Perché è rilevante e cosa resta da chiarire
Il punto centrale è la simmetria del rischio: la stessa capacità dell'AI di scovare difetti a ritmi inediti può essere usata da attori ostili per sfruttarli altrettanto rapidamente, come dimostrano i tentativi di attacco già avviati. La novità non è soltanto la singola falla, ma il fatto che per la prima volta l'AI sia stata impiegata per individuare un difetto di questa portata, trasformando un rischio previsto da mesi in un'emergenza operativa.
Restano però questioni aperte che il materiale non chiarisce: non è indicato quante installazioni siano già state aggiornate né quanto la stima del 70% dei siti a rischio sia solida. Non è inoltre documentato l'impatto effettivo degli attacchi andati a buon fine. Le previsioni di uno "tsunami" e di un "code red" sono dichiarazioni di dirigenti, non dati verificati, e vanno lette come tali. La fonte non specifica nemmeno quali strumenti di AI siano stati usati per la scoperta né come sia stato coordinato il rilascio delle patch.