I manutentori di PHP hanno rilasciato patch di emergenza mercoledì, con un giorno di anticipo sui tempi previsti, dopo che i dettagli di due vulnerabilità critiche erano trapelati online prima della data di divulgazione coordinata. Le vulnerabilità consentono agli attaccanti di compromettere i server che eseguono PHP, il linguaggio che alimenta circa il 70% dei siti web con un linguaggio server-side noto.

La divulgazione coordinata era prevista per il 22 ottobre, secondo Greg Brockman, presidente di OpenAI, che ha descritto l'iniziativa in un annuncio di divulgazione coordinata. La divulgazione coordinata è progettata affinché le correzioni siano pronte prima che i dettagli tecnici vengano resi pubblici — un margine che la fuga anticipata di notizie ha eroso. Con i dettagli che cominciavano a emergere prima di quella data, i manutentori di PHP hanno anticipato il rilascio al 21 ottobre.

"Sono grato che la coalizione sia riuscita ad avere due mesi interi per prepararsi", ha dichiarato Brockman in un post su X. Una fuga di notizie molto prima che la patch fosse pronta "sarebbe stata molto impattante", ha aggiunto.

Le vulnerabilità sono diventate di pubblico dominio prima che le patch fossero disponibili, ha detto Joviane Jardim, ricercatrice senior di sicurezza di Detectify. Jardim ha detto che attaccanti e difensori di fatto sono partiti allo stesso tempo.

Due vulnerabilità con punteggio 9, su 10 consentono l'esecuzione di codice remoto

I bug, tracciati come CVE-2026-109618 e CVE-2026-109619, hanno entrambi un punteggio di gravità di 9,2 su 10. Entrambi sono classificati come critici e permettono l'esecuzione di codice remoto su server non aggiornati — la capacità di eseguire comandi arbitrari su una macchina da qualsiasi punto di Internet. Collettivamente, le vulnerabilità sono state denominate "PHP2Shell".

Brockman ha detto che il bug di base era presente in PHP da 14 anni — un arco di tempo abbastanza lungo da precedere tutte le linee di rilascio attualmente supportate ufficialmente. Una versione limitata era emersa nel 2024 ma "non fu ritenuta significativa all'epoca", ha detto.

Il team di sicurezza di PHP ha emesso un avviso martedì sera, e le correzioni hanno cominciato a essere distribuite dopo le 10 del mattino ora della costa orientale mercoledì.

Finlandia, Paesi Bassi e Francia mettono offline i siti governativi

Gli amministratori si sono mossi rapidamente. Centinaia di siti sono andati offline mercoledì, con Finlandia, Paesi Bassi e Francia che hanno chiuso i siti web governativi per precauzione — un metodo brusco ma efficace per eliminare la superficie di attacco mentre i server vengono aggiornati. Anche UE, Stati Uniti, Germania, Giappone, Australia e Regno Unito hanno emesso avvisi locali, mentre Nintendo e altre organizzazioni di grandi dimensioni hanno messo offline i servizi per applicare le patch.

Cloudflare sta già osservando attacchi e ha distribuito mitigazioni provvisorie ad alcuni clienti, ha detto il direttore tecnico Dane Knecht. Jake Knott, responsabile della threat intelligence di watchTowr, ha detto che il suo team sta tracciando tentativi di sfruttamento in the wild utilizzando proof-of-concept costruiti con l'IA. Quegli sforzi non hanno ancora dato frutti, ha detto Knott, ma non si aspetta che ciò persista.

OpenAI dice che i suoi modelli hanno scoperto i bug per primi

OpenAI ha dichiarato che i suoi modelli hanno individuato le vulnerabilità. La società di sicurezza Calif ha utilizzato GPT-5.6 Sol nell'ambito del programma Patch the Planet di OpenAI e ha trovato una versione del bug ad agosto. Brockman ha detto che il team stesso di OpenAI ha scoperto una versione più completa a settembre. La società di sicurezza cloud Wiz ha rilevato e segnalato entrambe le vulnerabilità in modo indipendente.

OpenAI ha dichiarato di aver trascorso due a guidare una coalizione di manutentori, ricercatori e fornitori di sicurezza — tra cui Wiz e Cloudflare — per testare le correzioni e preparare le linee guida. L'azienda ha coinvolto anche l'Office of the National Cyber Director e la CISA, e si è impegnata a fornire un miliardo di dollari in accesso sovvenzionato a Daybreak per le organizzazioni con budget di sicurezza limitati che proteggono servizi critici.

OpenAI ha riconosciuto che le stesse capacità che hanno individuato le vulnerabilità potrebbero anche aiutare gli attaccanti a costruire rapidamente exploit. Brockman ha chiesto ai governi e ad altri difensori autorizzati di setacciare Internet alla ricerca di server esposti e, nei casi estremi, di applicare patch in remoto.

Separatamente, OpenAI ha dichiarato martedì che due dei suoi agenti hanno disattivato i monitor interni di disallineamento mentre lavoravano su compiti di programmazione, come riportato da Cryptopolitan.

Circa metà dei siti PHP esegue versioni non supportate

Circa metà di tutti i siti PHP esegue versioni precedenti, ha detto Jardim, e solo PHP 8.2 e versioni successive ricevono rilasci ufficiali. "PHP 8.1 e versioni precedenti non ricevono più aggiornamenti dal progetto PHP", ha detto il team di sicurezza di PHP. Il team ha comunque pubblicato backport minimi del codice sorgente per PHP 7.4, 8.0 e 8.1.

Don Smith di Sophos ha detto che il primo passo per i difensori è identificare ogni luogo in cui PHP è in esecuzione, perché spesso si nasconde sotto sistemi di gestione dei contenuti e piattaforme di hosting. Qualsiasi sistema che non possa essere aggiornato dovrebbe essere scollegato da Internet finché non viene messo in sicurezza, ha detto.