La società di sicurezza Wiz Research ha rivelato una serie di vulnerabilità critiche nel motore PHP principale il 21 ottobre 2026, avvertendo che i difetti – collettivamente soprannominati PHP2Shell – consentono l’esecuzione di codice remoto non autenticato e la divulgazione della memoria in stile Heartbleed sul software che alimenta circa il 70% di tutti i siti web. Il progetto PHP ha rilasciato le patch lo stesso giorno e Wiz sollecita aggiornamenti immediati sull'enorme base installata del web.
PHP è la spina dorsale di gran parte di Internet: alimenta WordPress, Joomla, Drupal e MediaWiki, il software che gestisce Wikipedia. Fondamentalmente, i bug appena divulgati risiedono nel motore principale di PHP, non in qualche applicazione costruita su di esso, il che significa che i siti possono essere esposti anche quando il codice della loro applicazione è sicuro. Per maggiori informazioni su questa storia, consulta la nostra copertura dell'industria IA.
Quali sono le vulnerabilità
Secondo l'articolo tecnico di Wiz dei ricercatori Sagi Tzadik, Shir Tamari, Nir Ohfeld e Tomer Schwartz, tutti i bug divulgati sono problemi di sicurezza della memoria radicati nel modo in cui PHP gestisce gli errori fatali durante l'elaborazione delle richieste, in particolare errori di memoria insufficiente. Una richiesta bloccata può lasciare dietro di sé uno stato PHP interno danneggiato e una richiesta successiva o un lavoratore che riutilizza tale stato obsoleto può attivare la divulgazione della memoria o il danneggiamento della memoria.
I risultati sono stati raggruppati in due CVE con una gravità massima di CVSS 9,2:
- CVE-2026-109618: un deserializzatore di avanzamento del caricamento use-after-free che un utente malintenzionato può sfruttare per la divulgazione della memoria del processo remoto e, nelle catene dimostrate, l'esecuzione completa del codice remoto. Wiz ha dimostrato la divulgazione non autenticata della memoria di lavoro PHP e l'RCE di pre-autenticazione su WordPress, Drupal e Joomla.
- CVE-2026-109619: un errore fatale di backtrace use-after-free combinato con una confusione di tipo OPcache, ha dimostrato anche di produrre l'esecuzione di codice remoto pre-autenticazione su Drupal e WordPress.
La memoria che gli aggressori possono leggere può contenere password, token di autenticazione, chiavi API e certificati appartenenti ad altre richieste o al server stesso, ha affermato Wiz. Ogni versione di PHP rilasciata negli ultimi dieci anni, a partire da PHP 5.4, è affetta da almeno una delle vulnerabilità e, secondo la società, queste sono tra le vulnerabilità più gravi mai riscontrate in PHP.
Dove entra in gioco l'intelligenza artificiale
L'affermazione più importante nel rapporto di Wiz non riguarda affatto PHP, ma riguarda ciò che i modelli di intelligenza artificiale di frontiera hanno fatto per sfruttare lo sviluppo.
I difetti sottostanti, scrive Wiz, erano presenti da decenni, ma dimostrare la sfruttabilità richiedeva "una catena di passaggi eccezionalmente complessa, al limite di ciò che i ricercatori umani potevano praticamente ottenere". L'exploit doveva concatenare più difetti e adattarsi al layout di memoria di ciascun bersaglio attraverso ripetuti test e debug.
I modelli di intelligenza artificiale di frontiera, afferma l’azienda, hanno sostanzialmente ridotto questa barriera – “trasformando un difetto di vecchia data in un exploit” – e hanno consentito al team di Wiz di sviluppare e adattare exploit funzionanti su più applicazioni in poche ore anziché in settimane.
"Mentre il tempo e le competenze necessarie per questo lavoro diminuiscono, la complessità potrebbe non fornire più una barriera significativa, cambiando il modo in cui definiamo ciò che è vulnerabile nella pratica", hanno scritto i ricercatori.
Un punto di svolta nell'era dell'intelligenza artificiale?
Wiz inquadra esplicitamente PHP2Shell insieme a due precedenti momenti spartiacque nella sicurezza web: Heartbleed nel 2014, che ha messo in luce la fragilità dell'infrastruttura condivisa che protegge Internet, e Log4Shell nel 2021, che ha rivelato come le dipendenze software profondamente integrate creino un'esposizione diffusa. L’azienda sostiene che PHP2Shell potrebbe segnare un punto di svolta simile, questa volta illustrando come l’intelligenza artificiale cambia lo sfruttabilità pratica di debolezze note da tempo.
Questa inquadratura è importante oltre PHP. Le vulnerabilità teoriche che erano fuori portata perché sfruttarle era troppo difficile, troppo lento o troppo specializzato potrebbero ora essere alla portata di aggressori dotati di risorse adeguate e dotati di strumenti di intelligenza artificiale: un cambiamento con ovvie implicazioni per i budget della difesa, la cadenza delle patch e le tempistiche di divulgazione in tutto il settore del software.
Una soluzione coordinata intersettoriale
La divulgazione è stata coordinata. Wiz ha ringraziato il team PHP e OpenAI per il loro lavoro di rilevamento, coordinamento e verifica delle patch, sottolineando che sia OpenAI che PHP hanno pubblicato i propri resoconti tecnici sulla cronologia della vulnerabilità e sul processo di divulgazione.
Un gruppo intersettoriale, tra cui Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft e Vercel, ha preparato linee guida e soluzioni di mitigazione pronte all'uso per i clienti che non possono applicare immediatamente le patch. Cloudflare ha annunciato separatamente il 21 ottobre di aver implementato protezioni WAF contro le vulnerabilità PHP per i suoi clienti.
Cosa dovrebbero fare i proprietari dei siti
Il consiglio di Wiz è schietto: patch immediatamente. Il progetto PHP ha rilasciato le correzioni per le vulnerabilità della sicurezza della memoria il 21 ottobre 2026 e ogni distribuzione PHP supportata dovrebbe essere aggiornata il prima possibile.
Le organizzazioni che non possono applicare subito le patch dovrebbero applicare le misure di mitigazione pubblicate dai loro provider CDN, hosting o WAF, molti dei quali hanno distribuito regole mirate alle catene di exploit fin dal primo giorno. Gli amministratori dei parchi WordPress, Drupal e Joomla dovrebbero considerare questo come un ciclo di patch prioritario: Wiz ha dimostrato l'esecuzione di codice remoto pre-autenticazione su tutte e tre le piattaforme e i percorsi di codice vulnerabili esistono indipendentemente da quanto siano ben mantenute le applicazioni sopra di esse.
La lezione più profonda potrebbe essere quella che Wiz stesso ha tratto: quando l’intelligenza artificiale può comprimere mesi di ingegneria degli exploit in ore, la definizione operativa del settore di “praticamente sfruttabile” – e con essa, il significato di tempistiche di patching responsabile – è appena cambiata.
---
Rimani Aggiornato sull'IALe ultime notizie, analisi e scoperte sull'intelligenza artificiale — tutto in un posto.
Leggi altre notizie sull'IA →
