PHP: due falle critiche scoperte con l'ausilio di GPT-5.6 Sol e Gemini 4

Due vulnerabilità di esecuzione remota di codice in PHP — CVE-2026-109618 e CVE-2026-109619, CVSS 9.2 — sono state individuate con l'ausilio di modelli AI: GPT-5.6 Sol di OpenAI e Gemini 4 Argon di Google. Le patch sono uscite oggi, 21 ottobre 2026, con un giorno di anticipo dopo la fuga dei CVE, diffusi con data di rilascio e CVSS errati. Il paradosso è tutto qui: l'AI ha accelerato la scoperta, ma la fuga di notizie e un video di proof of concept pubblicato per errore hanno accelerato anche gli exploit.

Due RCE critiche che arrivano dal PHP del 2004

Le due falle permettono a un attaccante non autenticato di eseguire codice sui server colpiti o di leggere la memoria dei processi, dove possono trovarsi password, token di autenticazione, chiavi API e certificati. La PHP Foundation le ha classificate 9.2 su 10 ("critical") e ha precisato che riguardano tutte le installazioni PHP che servono richieste web, a partire da PHP 5, rilasciato nel luglio 2004.

Solo PHP 8.2 e versioni successive ricevono patch ufficiali: le linee più vecchie restano scoperte, a meno che distribuzioni e vendor terzi producano fix legacy. Wiz ha battezzato la dimostrazione di exploit php2shell. Uno strumento pubblicato su GitHub permette agli operatori di verificare se la propria versione di PHP è affetta.

La fuga di notizie ha anticipato le patch di 24 ore

Il rilascio era programmato per il 22 ottobre alle 14:00 UTC. La cronologia reale è stata diversa, e vale la pena leggerla in ordine:

19 agosto 2026: Wiz Research scopre la prima vulnerabilità PHP con Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol.
20 agosto 2026: RCE non autenticata confermata contro Drupal.
21 agosto 2026: RCE non autenticata confermata contro WordPress.
24 agosto 2026: segnalazione al team di sicurezza PHP.
21 settembre 2026: PHP riconosce le segnalazioni e avvia la correzione coordinata.
20 ottobre 2026, ~15:00 UTC: i due CVE circolano su forum e social con data di rilascio sbagliata e CVSS 10.0 errato (il valore reale è 9.2).
20 ottobre 2026, 19:30 UTC: PHP anticipa il pre-annuncio.
20 ottobre 2026, ~20:00 UTC: la security firm Calif pubblica per errore un video con il proof of concept funzionante; il video viene cancellato ma le copie circolano.
21 ottobre 2026, 14:00 UTC: patch disponibili e divulgazione pubblica.

I conti aiutano a capire la compressione dei tempi: tra la segnalazione del 24 agosto e il rilascio del 21 ottobre sono passati 58 giorni, di cui 30 tra il via libera di PHP e le patch. Il pre-annuncio è arrivato 4 ore e mezza dopo l'inizio della fuga di notizie, mentre il video di Calif ha preceduto di 18 ore le patch. Il rilascio annunciato da Wired come "poco prima delle 10 ET" coincide con le 14:00 UTC indicate da Simon Willison: 10:00 ET corrisponde esattamente a 14:00 UTC.

Laptop e scudo di sicurezza con crepe su una scrivania luminosa, simbolo delle vulnerabilità PHP scoperte con l'AI — Due falle critiche in PHP, scoperte con l'aiuto dell'intelligenza artificiale, richiedono aggiornamenti immediati dei server.

Chi ha trovato le falle: tre nomi, nessuna versione unica

GPT-5.6 Sol ha individuato le vulnerabilità nell'ambito di Patch-the-Planet, il programma che OpenAI colloca tra i problemi di sicurezza più impattanti degli ultimi anni. Wiz le ha trovate in modo indipendente con la piattaforma Wiz Atlas, affiancata da Gemini 4 Argon e dallo stesso GPT-5.6 Sol: secondo l'azienda, Gemini 4 Argon è stato particolarmente utile per individuare la falla, sviluppare exploit, costruire il rilevamento degli attacchi e validare la patch.

Sull'attribuzione, però, le fonti non dicono la stessa cosa. Wired riporta che Wiz rivendica la scoperta "parzialmente" con strumenti AI, mentre OpenAI e Calif sostengono di aver individuato i problemi in modo indipendente e di aver poi lavorato insieme. The Decoder assegna la scoperta a GPT-5.6 Sol nel quadro di Patch-the-Planet e presenta Wiz come conferma indipendente. Tre soggetti, tre rivendicazioni: la ricostruzione tecnica è solida, quella della priorità lo è meno.

Cosa cambia per chi gestisce un sito

La posizione della PHP Foundation è netta: non esistono mitigazioni complete, aggiornare è l'unica scelta sicura. Il National Cyber Security Centre britannico ha chiesto di prepararsi all'aggiornamento immediato e, dove la remediation non è praticabile, di considerare la messa offline del sistema; avvisi analoghi sono arrivati da EU-CERT e dall'agenzia australiana. La stessa soglia di allarme spiega perché, prima del rilascio, siti del governo finlandese (incluso il National Land Survey), siti governativi francesi e il sito del Porto di Rotterdam siano diventati irraggiungibili.

Il rischio non è teorico. Cloudflare ha segnalato "early attacks" già prima della divulgazione, e Sansec prevedeva attacchi di massa entro 15 minuti dal rilascio. Il cyber assistant director dell'FBI Brett Leatherman ha indicato la procedura in caso di compromissione: isolare il sistema, preservare i log del web server e di PHP, e segnalare all'ufficio locale dell'FBI, perché le segnalazioni aiutano a identificare gli attori e ad avvisare altre organizzazioni prima che diventino vittime.

Il processo umano è il punto debole, non il modello

La scoperta è stata coordinata in 2 mesi e 5 fasi con sviluppatori PHP, Wiz, Cloudflare e agenzie statunitensi tra cui CISA e la Casa Bianca; OpenAI propone l'intero processo come framework replicabile per le future scoperte guidate dall'AI. Il problema è che i modelli non aiutano solo la difesa: possono adattare automaticamente un exploit a versioni, configurazioni e layout di memoria diversi, abbattendo la barriera che un tempo rendeva impraticabile scalare un attacco. Vulnerabilità che sembravano inattaccabili diventano bersagli praticabili, e OpenAI si aspetta un aumento netto di scoperte di questa portata nei prossimi mesi.

Il conto che conta, allora, non è il CVSS 9.2: sono i 58 giorni di disclosure responsabile compressi in 24 ore di anticipo, con un video di proof of concept in circolazione 18 ore prima delle patch e attacchi di massa attesi entro 15 minuti dal rilascio. La capacità di trovare falle con l'AI è ormai dimostrata; la parte fragile resta la tenuta del silenzio fino al giorno della correzione. Per chi amministra un server, la conseguenza è una sola e non ammette rinvii: la versione di PHP va verificata oggi, non domani.