OpenAI e Google Wiz hanno identificato due falle critiche in PHP, che è la lingua di programmazione lato server che alimenta più del 70% dei siti web, cioè oltre 33 milioni di pagine. La NSA ha emesso un avviso urgente, consigliando di rimuovere i siti non aggiornati fino a quando non si dispone della patch.
Le vulnerabilità, presenti in tutte le versioni di PHP dal 5 (2004), consentono a malintenzionati di accedere al file system del server o a database usati dall’applicazione web. Le versioni PHP 8.1 e precedenti non sono più supportate; l’ultima versione stabile è la 8.5.12, che include le correzioni.
Il ritrovamento è avvenuto grazie all’utilizzo di intelligenza artificiale: OpenAI ha impiegato GPT‑5.6 Sol per scoprire una delle falle, pubblicandone le informazioni sul proprio blog. Parallelamente, il team Wiz ha sfruttato il proprio agente AI, Gemini 4 Argon, insieme a GPT‑5.6 Sol, per individuare altre vulnerabilità.
Entrambe le organizzazioni hanno seguito pratiche responsabili di ricerca sulla sicurezza, collaborando con PHP per sviluppare le patch prima di divulgare pubblicamente i dettagli. Successivamente hanno coinvolto numerosi partner, tra cui Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft e Vercel.
WordPress ha chiarito che le falle non sono specifiche alla propria piattaforma, ma i siti che usano il CMS devono applicare le correzioni e coordinarsi con i provider di hosting per garantire la sicurezza.
OpenAI sottolinea che le vulnerabilità sono state identificate da ricercatori prima che gli hacker le scoprissero. Non ci sono stati exploit in natura prima della scoperta AI, poiché queste falle erano troppo complesse da sfruttare. Wiz avverte che, grazie all’IA, i modelli di linguaggio possono adattare un exploit a diverse versioni di PHP, configurazioni e layout di memoria, rendendo il rischio più alto.
Con la divulgazione pubblica, gli hacker ora conoscono pienamente le vulnerabilità. La corsa per aggiornare i decine di milioni di siti web è iniziata, e la NSA consiglia di spostare i siti non patchati offline finché non si dispone di una soluzione.
