Il caso PHP2Shell e il ruolo del modello
OpenAI ha annunciato che la vulnerabilità critica del linguaggio PHP denominata PHP2Shell è stata individuata con l'ausilio del suo modello GPT-5.6 Sol. La scoperta è attribuita alla cybersecurity company Calif, che secondo la fonte ha usato il modello per identificare e divulgare il difetto, classificato con due identificativi CVE: CVE-2026-109618 e CVE-2026-109619. Il team di sviluppo di PHP ha rilasciato una patch correttiva alle 23 del 21 ottobre, ora del Giappone.
Nello stesso annuncio si precisa che anche Wiz Research ha trovato e segnalato la vulnerabilità in modo indipendente. Il doppio ritrovamento non viene descritto come una conferma incrociata dai soggetti coinvolti, ma indica che il problema è stato oggetto di più segnalazioni. OpenAI collega il caso all'iniziativa Patch the Planet, avviata a giugno per usare l'intelligenza artificiale nell'individuazione e correzione tempestiva di falle nel software open source, con l'obiettivo dichiarato di rafforzare le difese informatiche.
La priorità della patch e il checker
OpenAI indica l'applicazione della patch come massima priorità. Per agevolare l'operazione, l'azienda ha pubblicato un PHP Version Checker come competenza di Codex, uno strumento che consente ai responsabili operativi di capire se la versione di PHP in uso rientra tra quelle potenzialmente vulnerabili e di valutare gli aggiornamenti necessari, anche in base alle indicazioni del progetto PHP e dei fornitori coinvolti.
Il messaggio operativo è quindi duplice: da un lato identificare il software esposto, dall'altro decidere l'intervento con le informazioni messe a disposizione dagli sviluppatori e dai soggetti che gestiscono le installazioni. La fonte non specifica quali versioni siano interessate, né il numero di sistemi coinvolti, né eventuali sfruttamenti già osservati.
Il vantaggio difensivo rivendicato e i limiti dell'annuncio
OpenAI sottolinea un aspetto che considera rilevante: per quanto è a sua conoscenza, un modello di frontiera ha individuato la vulnerabilità prima degli attaccanti. Questo, secondo l'azienda, avrebbe dato ai difensori un margine di tempo per preparare correzioni e contromisure prima che il difetto potesse essere sfruttato.
L'azienda annuncia inoltre l'intenzione di continuare a sostenere l'individuazione di vulnerabilità tramite modelli di frontiera e chiede collaborazione per migliorare questo tipo di approccio. Nel comunicato viene anche citato l'impegno a destinare un miliardo di dollari in sovvenzioni per l'accesso a Daybreak attraverso Daybreak for Frontline Defenders.
Restano alcuni elementi da verificare: la fonte riporta la ricostruzione di OpenAI e le dichiarazioni sull'uso del modello, ma non offre dettagli tecnici sulla natura del difetto né sui tempi della divulgazione. Non è indicato se il checker sia già disponibile per tutti gli utenti di Codex o con quali modalità. In assenza di questi dati, l'annuncio va letto come una presa di posizione dell'azienda sull'uso difensivo dell'AI più che come una valutazione indipendente dell'efficacia dell'operazione.