Ricercatori di sicurezza hanno scoperto gravi vulnerabilità in PHP, il linguaggio di scripting open source che alimenta circa il 70% dei siti web mondiali, con l'assistenza di un modello OpenAI.

Le falle, complessivamente denominate PHP2Shell, sono state descritte come potenzialmente tra le più gravi scoperte in PHP in oltre un decennio, e alcuni esperti hanno tratto confronti con Heartbleed, la nota vulnerabilità OpenSSL resa pubblica nel 2014 che permetteva agli attaccanti di leggere porzioni della memoria dei server.

Cosa hanno trovato i ricercatori

Le vulnerabilità sono emerse durante un audit condotto nell'agosto 2026 dai ricercatori di Calif, una società di sicurezza. Il team ha utilizzato GPT-5.6 Sol, uno dei modelli di OpenAI, per analizzare il codice sorgente di PHP. A Ryan Austin di Calif è attribuita la scoperta delle vulnerabilità.

I bug consentono l'esecuzione remota di codice e il controllo della memoria del server. In termini pratici, un attaccante situato in qualsiasi punto di Internet potrebbe costringere un server a eseguire istruzioni che non avrebbe mai dovuto eseguire.

Parte di ciò che rende significativa la scoperta è la posizione delle falle: in PHP stesso, piuttosto che in una singola applicazione o plugin costruito sopra di esso.

Secondo i risultati della ricerca, le vulnerabilità potrebbero esporre dati sensibili appartenenti ai visitatori dei siti. Potrebbero anche rappresentare un punto d'appoggio per ulteriori attacchi informatici contro altri sistemi.

Come si è svolta la divulgazione

Il CEO di Calif, Thai Duong, ha avvisato Volker Dusch, che lavora su PHP, l'11 agosto, avviando uno sforzo coordinato e riservato per risolvere il problema prima che gli attaccanti potessero venirne a conoscenza. Questo approccio "private-first" è la pratica di sicurezza standard nota come divulgazione coordinata delle vulnerabilità, in cui le falle vengono corrette dietro le quinte prima che i dettagli diventino pubblici.

L'operazione di risposta ha riunito i manutentori di PHP, ricercatori esterni, fornitori di sicurezza e agenzie statunitensi tra cui CISA (la Cybersecurity and Infrastructure Security Agency) e ONCD (l'Office of the National Cyber Director).

OpenAI ha annunciato la propria iniziativa "Patch the Planet" il 21 ottobre 2026. Il programma è progettato per mobilitare i difensori attorno alle vulnerabilità PHP2Shell e supportare lo sforzo coordinato di correzione. Una parziale fuga di informazioni sulle falle ha costretto il team ad anticipare il rilascio della patch al 22 ottobre.

Nell'ambito dell'iniziativa, OpenAI sta contribuendo con 1 miliardo di dollari in accesso sovvenzionato ai modelli. L'obiettivo è mettere gli strumenti di IA nelle mani dei difensori in prima linea che lavorano su vulnerabilità di questo tipo.

Perché la ricerca di bug assistita dall'IA cambia il quadro

Gli esperti citati nella ricerca hanno tratto il parallelo con Heartbleed. Hanno anche sottolineato che la scoperta di vulnerabilità potenziata dall'IA è un'arma a doppio taglio: la stessa capacità che aiuta i difensori a individuare le falle potrebbe aiutare gli attaccanti a trovarle e sfruttarle.

Quella tensione è al centro dell'impegno da 1 miliardo di dollari di OpenAI. Se i modelli possono individuare falle critiche più rapidamente, la corsa diventa una questione di chi li utilizza per primo. Sovvenzionare l'accesso per i difensori è un tentativo di inclinare quella corsa a favore di chi esegue le correzioni.

Cosa significa

Per gli operatori di siti web, la priorità immediata è semplice: aggiornare. Esiste una patch, e la parziale fuga di notizie significa che il conto alla rovescia è iniziato prima di quanto chiunque desiderasse. Poiché PHP sostiene una quota cosìia del web, l'aggiornamento va ben oltre un singolo sito o provider di hosting.

Per il mondo open source, PHP2Shell è un altro promemoria di un problema strutturale: le infrastrutture critiche di Internet ofteno poggiano su progetti mantenuti da piccoli team, una dipendenza che diventa un rischio sistemico quando emergono falle di questa gravità. Il forte coinvolgimento delle agenzie statunitensi in questa divulgazione mostra quanto seriamente i governi trattino ormai quella dipendenza.

Cosa osservare nei prossimi tempi: quanto rapidamente i siti applicheranno la patch del 22 ottobre, se verrà segnalata in natura qualche sfruttamento di PHP2Shell, e come OpenAI distribuirà il suo accesso sovvenzionato da 1 miliardo di dollari.