Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
Una falla nel core di PHP, nota almeno in parte dal 2024 e a lungo considerata non sfruttabile da un essere umano, è diventata nel giro di poche ore il bersaglio di milioni di tentativi di exploit. Il salto non è avvenuto nel codice del linguaggio: è avvenuto negli strumenti. Le stesse capacità di analisi che hanno permesso a un gruppo di ricerca di dimostrare lo sfruttamento di PHP2Shell sono ora a disposizione anche di chi attacca, e il 21 ottobre 2026 — giorno dell'annuncio pubblico — è la data da cui parte il fenomeno che il settore chiama "Black October".
PHP2Shell dà accesso diretto al server che ospita il sito
PHP2Shell è il nome collettivo delle falle scoperte nel core di PHP, il linguaggio che secondo le stime fa girare circa il 70% dei siti web. L'exploit concede il cosiddetto shell access: il controllo da riga di comando del computer che ospita il sito, bypassando l'interfaccia e aprendo la strada ai dati e alla gestione della macchina.
Un sito moderno ha bisogno di un programma che giri sul server web e prenda input dall'utente, che si tratti di un indirizzo digitato o di un click. PHP si articola in due parti: il sistema centrale, cioè motore e librerie di runtime, e i singoli script che implementano il sito. La falla sta nella prima. Non è un errore nel codice di una singola pagina: ogni installazione non corretta è esposta, e gli attaccanti individuano i bersagli con strumenti automatici. Le cause sottostanti vivono nel codice core di PHP da oltre un decennio.
Sul dimensionamento le fonti non coincidono, e la differenza è sostanziale. The Guardian scrive che alcuni esperti hanno stimato nel 70% la quota di siti internet a rischio di hacking; The Conversation indica nel 70% la quota di siti che girano su PHP. La cifra è identica, l'oggetto no: la prima misura un'esposizione, la seconda un installato.
Dal 2024 ai milioni di tentativi: cosa ha cambiato l'AI
Alcune cause sottostanti erano già note nel 2024, ma all'epoca furono giudicate troppo complesse da sfruttare. Calif ha identificato PHP2Shell e costruito gli exploit all'inizio di agosto 2026, in parte con modelli di frontiera usati nel programma Patch the Planet di OpenAI, in parte con competenza umana specifica su PHP.
OpenAI e la società di sicurezza Wiz, controllata da Google, hanno poi trovato le stesse falle in modo indipendente usando strumenti di AI. Il punto è cosa significhi quel "non sfruttabile" del 2024. Come spiega Sagi Tzadik, ricercatore di sicurezza di Wiz: "The vulnerability had been known to the PHP team for years, but because it could not be leveraged by an attacker—at least, not a human one—it was not addressed". Il collo di bottiglia non era la conoscenza del difetto, ma la capacità di trasformarlo in un exploit funzionante.
La paternità della scoperta è però contestata. Latent Space riferisce che la PHP Foundation sostiene che Claude Mythos avesse già scansionato PHP in precedenza, mentre un'altra ricostruzione di The Rundown parla di bug trovati dai modelli OpenAI e tenuti in embargo fino alla correzione. Anche la capacità dei modelli resta relativa, per ammissione di chi ha trovato le falle: "No model is simply capable of unearthing 'all bugs' with simple prompts. At least for now", ha scritto Ryan Austin, il ricercatore di Calif.
Le cifre di Cloudflare: da migliaia a milioni in poche ore
Nelle 10 ore precedenti l'annuncio Cloudflare aveva già registrato migliaia di persone intente a sfruttare le falle. Poi la curva si è impennata: decine di migliaia di tentativi nei 45 minuti successivi, centinaia di migliaia entro 2 ore, milioni al momento del post.
| Momento | Tentativi di sfruttamento |
|---|---|
| Nelle 10 ore prima dell'annuncio | migliaia |
| Nei 45 minuti dopo l'annuncio | decine di migliaia |
| Entro 2 ore dall'annuncio | centinaia di migliaia |
| Al momento del post di Prince | milioni |
"That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now", ha scritto Matthew Prince, CEO di Cloudflare. Tentativi non significa però successi: la PHP Foundation ha dichiarato di non aver visto alcuno sfruttamento riuscito di PHP2Shell, e molti exploit che circolano pubblicamente appaiono inefficaci. La NSA ha comunque emesso un alert raccomandando a ogni sito basato su PHP di applicare subito le patch, mentre siti governativi e privati tra Stati Uniti e Regno Unito sono stati temporaneamente messi offline per aggiornare.
Il "Black October" è un grappolo di divulgazioni, non tutte nuove
Latent Space colloca il Black October in una finestra di circa 48 ore in cui si sono concentrate divulgazioni critiche diverse. Oltre a PHP2Shell, una falla CVSS 10 in GitLab presente dal 2014 e corretta nella 19.5.1, un RCE nel decoder Brotli di Node.js, problemi di DoS in NGINX e HTTP/3.
Sul fronte della supply chain, nella stessa finestra sono emersi:
- la versione 1.107.0 di LiteLLM distribuita con un password stealer;
- Railway che ha chiesto ai clienti di ruotare i secret dopo una possibile esposizione di chiavi;
- Zeabur in chiusura dopo la compromissione di 321.810 account.
Non tutto quel che è sembrato accadere è accaduto quella settimana. Joshua Achiam ha osservato che solo 4 dei circa 16 incidenti principali si sono verificati davvero in quei giorni: gli altri erano stati scoperti prima e sono stati divulgati ora. Un ricercatore ha definito disinformazione la narrazione per cui l'offesa starebbe vincendo, leggendo l'operazione come un audit difensivo.
La matematica delle patch non regge
Il volume mensile di CVE è passato da circa 4.000 a circa 15.000 da aprile: 11.000 in più, cioè un aumento del 275% (11.000 diviso 4.000). Le sole patch di sicurezza di Microsoft hanno incluso, questo mese, un record di 1.453 vulnerabilità, pari al 9,7% di quel totale mensile (1.453 su 15.000).
Su questi numeri si innestano le prese di posizione dei vertici del settore. Sam Altman ha detto di non credere più che "riusciremo a mettere una pezza su tutti i bug"; Jason Clinton, deputy CISO di Anthropic, ha parlato di uno "tsunami di vulnerabilità" ("There won't be enough time to patch critical infrastructure"), e Marc Benioff lo ha chiamato "code red". Prince ha aggiunto che i prossimi due anni saranno "incredibilmente, incredibilmente, incredibilmente carichi" di strumenti con "infinita pazienza" nel cercare falle.
Il contrappeso esiste ed è documentato. Niels Provos, ingegnere e ricercatore di sicurezza, si dichiara non preoccupato: gli strumenti AI vengono usati per la ricerca da oltre un anno e, per trovare questa falla, è servito un team altamente specializzato. Jake Williams, ex hacker della NSA oggi a Hunter Strategy, ridimensiona l'effetto scala: "There isn't much else that has the specific reach of PHP. It's a pretty wild attack surface—most other tools aren't exposed to the internet by design". La lettura più solida è quindi selettiva: l'AI non ha creato una classe nuova di bug, ha compresso i tempi di scoperta e sfruttamento su software già esposto per design. La prova sta nel fatto che Bank of America ha ingaggiato 1.000 consulenti per correggere le falle individuate dal modello Mythos di Anthropic, e che Anthropic ha annunciato di aver usato Claude, con Theorem Labs, per verificare formalmente oltre 100 librerie open source in poche settimane.
Cosa cambia per chi gestisce un sito
Chi amministra un sito, anche un piccolo blog costruito su WordPress, deve controllare subito il pannello di amministrazione o il provider di hosting e verificare che PHP sia aggiornato alla versione corretta. Chi usa il web solo come visitatore non deve installare nulla: PHP gira interamente su server remoti.
Se l'hosting è di terzi, la verifica va chiesta a loro. Le organizzazioni che ritardano l'aggiornamento rischiano esposizione di dati sensibili, interruzioni di servizio e l'uso del sito come punto d'appoggio per muoversi più in profondità nella rete. Lo stesso Clinton ha indicato una finestra realistica: tenere duro per circa 18 mesi, perché la situazione "andrà molto peggio prima di andare meglio".
La lezione di PHP2Shell è che il collo di bottiglia si è spostato. Fino a ieri il fattore limitante era sapere che il bug esisteva; oggi è la capacità di sfruttarlo, e quella capacità richiedeva un team altamente qualificato.
Fonti
