La falla php2shell e la gestione dell'IA nella sicurezza open source

Il 21 ottobre 2026 il progetto PHP ha rilasciato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per correggere due vulnerabilità critiche di esecuzione remota di codice, denominate "php2shell". Le falle, tracciate come CVE-2026-109618 e CVE-2026-109619 e valutate dal team di sicurezza con un punteggio CVSS v4.0 di 9.2, riguardano una gestione errata dell'esaurimento di memoria e uno stato di use-after-free nell'elaborazione delle richieste web. Secondo le indicazioni della CISA, il problema interessa le configurazioni che servono traffico web, mentre la società di sicurezza Tenable colloca l'origine del codice vulnerabile fino a PHP 5.4.0. La CISA raccomanda di aggiornare tempestivamente a partire dai sistemi esposti su internet e di isolare quelli non aggiornabili o basati su PHP 8.1 o precedenti, per i quali esistono solo backport in sorgente per le versioni 7.4, 8.0 e 8.1.

Amazon Threat Intelligence ha riferito di aver individuato un tentativo di sfruttamento nei propri honeypot il 17 ottobre, quattro giorni prima della divulgazione ufficiale, specificando che non è chiaro come l'attore ne sia venuto in possesso. Il 20 ottobre verso le 15:00 UTC le CVE hanno iniziato a circolare online con data e punteggio errati; verso le 20:00 UTC Calif ha pubblicato per errore un video con il proof of concept, poi rimosso. Il rilascio delle patch è stato anticipato dal 22 al 21 ottobre alle 14:00 UTC; quella mattina alle 07:41 UTC Chainguard ha pubblicato immagini aggiornate prima della divulgazione formale. Secondo AWS i tentativi di sfruttamento sono ora diffusi, ma non è chiaro se sarebbero riusciti su sistemi reali; alla pubblicazione dell'alert la CISA non aveva osservato sfruttamenti riusciti.

Secondo la PHP Foundation, la causa radice delle vulnerabilità è stata segnalata da Calif l'11 agosto, da Wiz il 24 agosto e, in modo indipendente, da OpenAI il 18 settembre. Secondo Fortune, Calif ha impiegato GPT-5.6 Sol, mentre Wiz ha utilizzato Gemini 4 Argon, GPT-5.6 Sol e il proprio strumento Wiz Atlas. Wiz, in un blog citato da Fortune, parla del 70 percento di internet coinvolto: una stima non verificata in modo indipendente. Palo Alto Networks, sempre secondo Fortune, ha individuato 22,6 milioni di istanze potenzialmente vulnerabili.

La stessa PHP Foundation riferisce di aver analizzato PHP a inizio 2026 con il modello Claude Mythos di Anthropic insieme ad Alpha-Omega, e di usare Daybreak Red di OpenAI per validare report ed exploit. Dal 1° luglio 2026 il team ha pubblicato 15 CVE e gestito oltre 100 segnalazioni rivelatesi non valide, duplicate o non riproducibili. Come osservato dalla fondazione, la crescita della ricerca assistita dall'IA implica che il team di sicurezza riceva molte più segnalazioni rispetto al passato, mentre ogni decisione e ogni patch restano affidate al lavoro diretto delle persone.

L'episodio suggerisce come l'impiego dei modelli linguistici stia rendendo più frequente la rilevazione di difetti storici nel codice, aumentando al contempo il volume di verifiche a carico dei manutentori umani, a cui fa capo la responsabilità delle correzioni.

— Olya