PHP2Shell, l’AI accelera la scoperta delle falle: rischi per le aziende

Le vulnerabilità PHP2Shell e il loro impatto

Il 21 ottobre 2026 il progetto PHP ha pubblicato aggiornamenti straordinari per correggere CVE-2026-109618 e CVE-2026-109619, entrambe classificate come critiche con un punteggio CVSS v4.0 di 9,2 su 10. In condizioni particolari, le falle permettono l’esecuzione di codice sul server a distanza, senza alcuna autenticazione. Il CERT‑EU ha quindi invitato le organizzazioni a installare immediatamente le patch su tutti i sistemi esposti.

Queste vulnerabilità, soprannominate “PHP2Shell”, colpiscono il motore PHP, il componente meno visibile ma fondamentale che elabora le richieste web e fa funzionare le applicazioni. Perciò, anche se un sito è aggiornato, utilizza password robuste e segue le migliori pratiche di sviluppo, può rimanere vulnerabile a causa di un difetto interno al linguaggio di programmazione.

Le due vulnerabilità riguardano la gestione della memoria:

• CVE-2026-109618: errore nella gestione degli errori di memoria. Se PHP esaurisce il limite di memoria mentre prepara alcuni dati, può interrompersi prima che le strutture interne siano pronte. Nella fase di pulizia, il programma tratta informazioni non valide come corrette, consentendo a un attaccante di iniettare codice malevolo.
• CVE-2026-109619: riferimento a memoria già liberata. Una richiesta successiva, elaborata dallo stesso processo, può riutilizzare quei riferimenti non più validi, creando una condizione di “use‑after‑free” sfruttabile per l’esecuzione di codice.

Non è necessario comprendere a fondo la gestione della memoria per capire la gravità: un errore interno al linguaggio può trasformare una normale richiesta web in un punto d’ingresso per un attacco remoto.

L’intervento dell’intelligenza artificiale nella scoperta

Il caso PHP2Shell segna una svolta nella sicurezza informatica: l’intelligenza artificiale ha aiutato i ricercatori a trasformare difetti conosciuti da anni in attacchi concretamente dimostrabili. Questa accelerazione può essere sfruttata sia dai difensori, per individuare rapidamente vulnerabilità difficili, sia dagli aggressori, che riducono i costi e i tempi di ricerca.

La PHP Foundations spiega che i primi segnali di problemi di gestione della memoria furono individuati nel 2024, durante un controllo del codice svolto da Quarkslab. All’epoca, gli sviluppatori avevano ipotizzato possibili percorsi di sfruttamento, ma mancavano dimostrazioni pratiche. La decisione su quale correzione adottare fu ostacolata da:

• possibili impatti sulla compatibilità con estensioni esistenti;
• rischi di regressioni di prestazioni;
• la scarsità di specialisti in gestione della memoria.

Nel 2026, le segnalazioni di Calif, OpenAI e Wiz Research hanno chiarito la gravità delle vulnerabilità. Sono stati impiegati strumenti di intelligenza artificiale come Google Cloud Gemini 4 Argon per analizzare le falle, ricercare varianti di exploit e verificare le patch.

Il ruolo di GPT‑5.6 Sol e di altri modelli

La ricostruzione di OpenAI indica che Calif ha individuato una falla critica con l’aiuto di GPT‑5.6 Sol nell’ambito di “Patch the Planet”. L’audit era iniziato il 30 luglio 2026; l’11 agosto, Ryan A. ha segnalato un attacco capace di eseguire codice da remoto, e lo stesso giorno è arrivata un’analisi indipendente da OpenAI. Successivamente, Wiz Research ha fornito ulteriori contributi il 24 agosto, mentre OpenAI ha pubblicato un nuovo report il 18 settembre.

Wiz Research ha utilizzato una combinazione di Wiz Atlas, Gemini 4 Argon e GPT‑5.6 Sol per:

• analizzare il codice sorgente e identificare le condizioni di trigger;
• sviluppare exploit funzionanti;
• ricercare varianti per diverse configurazioni di server;
• verificare l’efficacia delle patch rilasciate.

Grazie a questi modelli, la fase di debugging e test è stata ridotta da settimane a poche ore, dimostrando come l’AI possa abbattere la soglia tecnica ed economica per la realizzazione di attacchi complessi.

Conseguenze pratiche per le aziende

Il PHP è presente in una larga maggioranza di siti web: secondo W3Techs, al 21 ottobre 2026 il 69,3 % dei siti con linguaggio lato server utilizza PHP. Questa diffusione rende la vulnerabilità di PHP2Shell una minaccia di portata globale, anche se la percentuale non indica quanti siti siano effettivamente vulnerabili.

Le configurazioni più a rischio sono:

• Apache con modphp: i ricercatori hanno dimostrato che una singola richiesta non autenticata può attivare l’attacco prima ancora che venga eseguito il codice dell’applicazione.
• PHP‑FPM e altri gestori di processo: la vulnerabilità può manifestarsi in scenari di riutilizzo della memoria tra richieste successive.

Le dimostrazioni sono state effettuate anche su installazioni tipiche di WordPress, Drupal e Joomla. Tuttavia, la presenza della falla non implica automaticamente la compromissione di tutti i siti basati su queste piattaforme; è necessario verificare caso per caso la versione di PHP, le impostazioni di memoria e le condizioni di trigger.

Un attacco riuscito può consentire:

• l’esecuzione di istruzioni con i privilegi del processo PHP;
• l’accesso a dati sensibili, come token, credenziali e chiavi API, memorizzati nella memoria del processo;
• la modifica o la cancellazione di contenuti web;
• l’interruzione dei servizi, con potenziali impatti economici e reputazionali.

Le conseguenze variano in base ai controlli di sicurezza presenti sul server (sandbox, SELinux, AppArmor) e al livello di privilegio con cui gira PHP. In ambienti poco isolati, l’attaccante può persino ottenere accesso al sistema operativo.

Finanziamento e coordinamento della sicurezza open‑source

Il caso PHP2Shell solleva una questione più ampia: come finanziare e coordinare la sicurezza del software condiviso nell’era dei modelli avanzati di intelligenza artificiale? Gli attuali meccanismi di bug bounty e sponsorizzazioni spesso non coprono le risorse necessarie per:

• monitorare costantemente il codice sorgente;
• condurre audit approfonditi con l’ausilio di AI;
• gestire la distribuzione rapida delle patch a milioni di installazioni.

Alcune proposte emergenti includono:

• un fondo globale per la sicurezza dell’open‑source, alimentato da contributi di grandi aziende tech;
• partnership tra università e progetti open‑source per formare specialisti in analisi della memoria;
• standardizzazione di processi di rilascio di patch, con finestre di aggiornamento automatiche integrate nei gestori di pacchetti.

Inoltre, l’uso di AI per la scoperta di vulnerabilità richiede linee guida etiche e meccanismi di disclosure responsabile, per evitare che le stesse tecnologie vengano impiegate da attori malevoli.

Raccomandazioni operative per le organizzazioni

Di fronte a PHP2Shell, le aziende dovrebbero adottare le seguenti misure immediate:

• Aggiornare PHP alla versione 8.3.12 o successiva, includendo le patch per CVE‑2026‑109618 e CVE‑2026‑109619.
• Verificare la configurazione di memoria: impostare limiti di memoria adeguati (memorylimit) e abilitare zend.exceptionignoreargs per ridurre la superficie di attacco.
• Isolare i processi PHP mediante container o sandbox (Docker, LXC) e utilizzare profili di sicurezza (AppArmor, SELinux).
• Monitorare i log di accesso alla ricerca di pattern anomali, come richieste con payload di dimensioni insolite o errori di segmentazione.
• Implementare un piano di risposta agli incidenti che includa l’analisi forense della memoria del processo in caso di sospetto compromissione.

Infine, è consigliabile partecipare a programmi di bug bounty e collaborare con le community di sicurezza, condividendo informazioni su eventuali tentativi di sfruttamento rilevati in ambienti di produzione.

Prospettive future

L’avanzamento dell’intelligenza artificiale nella ricerca di vulnerabilità è inevitabile. Se da un lato gli strumenti AI accelerano la scoperta e la mitigazione di difetti critici, dall’altro aumentano le capacità degli aggressori di creare exploit in tempi più brevi. La risposta efficace richiederà:

• un maggiore investimento nella formazione di esperti di sicurezza specializzati in analisi della memoria;
• processi decisionali più rapidi all’interno dei progetti open‑source;
• una governance trasparente sull’uso dell’AI nella sicurezza, con regole chiare per la divulgazione responsabile.

Solo attraverso una cooperazione globale tra fornitori, ricercatori, enti regolatori e comunità open‑source sarà possibile mantenere la fiducia negli ecosistemi software che alimentano gran parte del web moderno.