Vulnerabilità PHP scoperte con l'AI: l'allarme sicurezza di Wiz
Due falle critiche in PHP sono state scoperte grazie all'AI. Wiz, OpenAI e il team di PHP hanno collaborato per proteggere il codice del web.
In breve
- Due falle critiche hanno colpito PHP, linguaggio open source utilizzato da circa il 70% dei siti web.
- Tomer Schwartz di Wiz ha confermato che i bug non sarebbero stati individuati senza l'aiuto dell'intelligenza artificiale.
- La risoluzione ha coinvolto Wiz (società di Google), OpenAI, il gruppo di ricerca Calif e il team ufficiale di PHP.
- Uno dei difetti di sicurezza era presente nel codice da più di dieci anni prima di diventare sfruttabile.
- I ricercatori hanno testato decine di ipotesi in un solo fine settimana grazie a tool dedicati basati su AI.
Alla fine di ottobre 2026, Tomer Schwartz, CTO di Exposure Management e AppSec per la società di sicurezza Wiz (controllata da Google), ha fatto luce sul ruolo decisivo svolto dall'intelligenza artificiale nell'individuazione di due gravi falle nel linguaggio open source PHP. Il caso ha mostrato come l'uso di modelli avanzati stia trasformando radicalmente la rapidità con cui le vulnerabilità del software possono essere identificate, sollevando timori su una proliferazione senza precedenti di rischi informatici per i sistemi più datati della rete.
Cosa è stato annunciato
Al centro della vicenda ci sono due vulnerabilità critiche (tra cui una nota come PHP2Shell) scoperte all'interno di PHP, il linguaggio di programmazione che alimenta circa il 70% dei siti web a livello globale. A seguito della scoperta, numerose organizzazioni sono state costrette ad avviare manovre di emergenza, arrivando in alcuni casi a disattivare temporaneamente i propri portali per consentire l'applicazione delle patch (i correttivi software rilasciati per correggere i difetti di sicurezza).
Schwartz ha rivelato che il gruppo di ricerca di Wiz non avrebbe mai potuto rintracciare queste falle senza il supporto dell'AI. Grazie a strumenti personalizzati basati su questa tecnologia, i ricercatori sono riusciti ad analizzare e verificare decine di ipotesi differenti nel corso di un singolo fine settimana. La corsa per arginare il pericolo ha richiesto una stretta collaborazione che ha visto impegnati Wiz, OpenAI, il gruppo di ricerca Calif e gli sviluppatori del team ufficiale di PHP. Un elemento rilevante emerso dall'indagine riguarda il fatto che uno dei problemi risiedeva nel codice in modo visibile da oltre dieci anni, diventando sfruttabile solo a seguito di mutamenti successivi dell'ecosistema.
Cosa cambia per chi usa l'AI
La vicenda segnala un cambio di passo epocale sia per gli esperti di sicurezza sia per chi sviluppa software. L'adozione dell'AI nell'analisi del codice riduce drasticamente i tempi necessari a individuare debolezze rimaste a lungo sepolte in progetti storici. Tuttavia, questa stessa rapidità espone a nuovi rischi, poiché la facilità di scoperta può favorire anche chi intende sfruttare le falle prima che vengano corrette.
Di fronte a un volume così elevato di potenziali difetti da sanare, la correzione puramente manuale non è più considerata una strategia sostenibile sul lungo termine. Anche le consuete prassi di divulgazione coordinata — il metodo con cui ricercatori e sviluppatori comunicano privatamente le falle per preparare i rimedi prima di annunciarle al pubblico — sono messe a dura prova dal costante pericolo di fughe di informazioni. Per le startup e per le aziende, incluse le realtà che gestiscono portali basati su piattaforme diffuse come WordPress, si rende necessario ripensare la sicurezza informatica integrandola fin dalla fase iniziale di sviluppo, automatizzando i processi di verifica e tenendo costantemente aggiornate le proprie infrastrutture web.
Domande frequenti
Quale ruolo ha avuto l'AI nella vicenda legata a PHP?
L'intelligenza artificiale è stata utilizzata dai ricercatori di Wiz tramite strumenti personalizzati che hanno permesso di testare decine di idee in un solo fine settimana, permettendo di identificare falle che altrimenti non sarebbero state scoperte.
Chi è intervenuto per correggere le falle scoperte?
I lavori di messa in sicurezza hanno visto collaborare i ricercatori di Wiz (azienda del gruppo Google), OpenAI, il gruppo di ricerca Calif e il team di sviluppo di PHP.
Perché queste falle sono considerate particolarmente insidiose?
Oltre a riguardare un linguaggio che supporta circa il 70% dei siti web, una delle vulnerabilità era presente inosservata nel codice da oltre un decennio prima di poter essere attivamente sfruttata.
Fonti
Come è nato questo articolo Una prima bozza è stata preparata con l'aiuto dell'intelligenza artificiale a partire dalle fonti qui sopra; il testo è stato poi verificato e approvato dalla redazione. Come lavoriamo · Segnala un errore