Le falle e il ruolo dell'intelligenza artificiale
OpenAI ha reso pubbliche il 21 ottobre due vulnerabilità critiche in PHP, il linguaggio che secondo le stime citate nel materiale fa girare circa il 70% dei siti web. Le falle sono catalogate come CVE-2026-109618 e CVE-2026-109619 e hanno un punteggio CVSS di 9.2 su 10. Riguardano la gestione della memoria e, stando alla ricostruzione di OpenAI, consentono l'esecuzione di codice da remoto senza autenticazione: il problema nasce dal modo in cui PHP tratta gli errori di memoria esaurita, che possono lasciare uno stato interno non valido sfruttabile per leggere o corrompere dati.
Una delle due è stata individuata dalla società di sicurezza Calif usando GPT-5.6 Sol nell'ambito dell'iniziativa Patch the Planet; Wiz ha scoperto entrambe in modo indipendente. Il contributo dell'IA va letto con cautela: Wiz racconta di aver usato la propria piattaforma Wiz Atlas insieme a Gemini 4 Argon di Google e a GPT-5.6 Sol, e attribuisce a Gemini un ruolo nella scoperta, nello sviluppo degli exploit, nel rilevamento e nella validazione della patch. Il comunicato di OpenAI non precisa quale delle due falle sia stata trovata da Calif, né se Wiz abbia impiegato modelli di IA. Il punto nuovo è quindi la scoperta assistita da modelli avanzati, ma la ripartizione esatta dei meriti resta da chiarire.
Patch, versioni scoperte e attacchi in corso
La PHP Foundation ha rilasciato le versioni corrette 8.2.35, 8.3.36, 8.4.27 e 8.5.12. PHP 8.1 e le versioni precedenti non ricevono correzioni ufficiali e chi le usa deve migrare. OpenAI ha pubblicato anche uno strumento open source per verificare la versione installata, ma si limita a confrontare i numeri di versione e non accerta che la patch sia davvero applicata.
Il nodo è il tempismo. OpenAI parla di una «finestra del difensore», il periodo in cui i modelli avanzati servono a trovare e chiudere i buchi prima che le stesse capacità finiscano in mano agli attaccanti. Nello stesso giorno, però, Cloudflare ha dichiarato che la falla era trapelata e che i suoi clienti erano già nel mirino. Il materiale riferisce inoltre di avvisi dei governi in tutto il mondo e di alcuni siti spenti per precauzione. La divulgazione, dunque, è arrivata quando lo sfruttamento era già in corso secondo Cloudflare, mentre i tempi di coordinamento erano stati lunghi.
La tempistica e il carico sui manutentori
Calif ha iniziato a esaminare PHP il 30 luglio su richiesta della PHP Foundation e l'11 agosto ha segnalato un percorso di esecuzione remota riconducibile a un errore del 2024; OpenAI dice di aver segnalato lo stesso difetto lo stesso giorno. Sono seguiti circa due mesi di coordinamento con manutentori, ricercatori e fornitori di sicurezza prima della divulgazione.
OpenAI propone un modello in cinque fasi per gestire le vulnerabilità scoperte dall'IA e chiede alla comunità della sicurezza di criticarlo. L'azienda afferma che questi bug sono tra molti altri già individuati e prevede un aumento marcato di scoperte simili nei prossimi mesi. Se l'andamento sarà questo, i manutentori volontari di progetti open source dovranno reggere un flusso di segnalazioni molto più fitto, e due mesi di embargo potrebbero non bastare: è una previsione dell'azienda, non un dato verificato nel materiale. Restano da accertare l'attribuzione esatta delle scoperte, la portata reale degli attacchi segnalati da Cloudflare e l'effettiva applicazione delle patch presso gli utenti.
