Secondo un’analisi di Cloudflare citata da WIRED, nel giro di poche ore dalla divulgazione sono arrivati milioni di tentativi di sfruttare nuove vulnerabilità PHP. Le falle, note nel loro insieme come PHP2Shell, hanno spinto i team di sicurezza e gli amministratori web a correre ai ripari con le patch.
Al momento non risultano violazioni su larga scala. La PHP Foundation afferma di non aver rilevato sfruttamenti riusciti delle falle, e molti degli exploit diffusi pubblicamente sembrano inefficaci. WIRED non indica quali versioni di PHP siano interessate né fornisce istruzioni per installare le patch.
L’AI ha aiutato i ricercatori a trovare un modo per entrare
I ricercatori della società di sicurezza Calif hanno individuato per primi le vulnerabilità e realizzato gli exploit all’inizio di agosto, ricorrendo in parte a strumenti di AI all’avanguardia nell’ambito del programma Patch the Planet di OpenAI. Il loro lavoro si è basato anche sulla competenza umana in materia di PHP. In seguito, ricercatori di OpenAI e Wiz, di proprietà di Google, hanno individuato autonomamente falle PHP2Shell usando strumenti di AI.
Alcuni problemi alla base delle vulnerabilità erano stati individuati nel 2024, ma si riteneva troppo difficile sfruttarli. Sagi Tzadik, ricercatore di Wiz, ha dichiarato che il team PHP conosceva la vulnerabilità da anni, ma non era intervenuto perché un aggressore umano non avrebbe potuto sfruttarla. L’AI ha reso sfruttabile una falla che prima, nella pratica, non lo era.
Più pressione, non attacchi automatici
Il caso mostra come l’AI possa accelerare l’analisi e lo sfruttamento delle vulnerabilità, aumentando la pressione sui team di sicurezza, già alle prese con un gran numero di falle. WIRED osserva che gli aggiornamenti di sicurezza di Microsoft hanno incluso quel mese un numero record di 1,453 vulnerabilità e che Bank of America ha assunto 1,000 consulenti per intervenire sulle falle individuate da Mythos di Anthropic.
I ricercatori citati da WIRED invitano a non dare per scontato che l’AI riuscirà a scoprire ogni vecchio bug. Ryan Austin, ricercatore di Calif, ha detto che nessun modello può trovare tutte le falle con semplici prompt; altri esperti hanno sottolineato che la scoperta relativa a PHP ha richiesto un team esperto. Un ricercatore ha inoltre osservato che l’ampia esposizione di PHP a Internet ne fa un bersaglio insolito, e non dimostra che ogni vecchia vulnerabilità software stia per diventare sfruttabile.
Perché conta
Per chi amministra sistemi PHP, il resoconto di WIRED è un motivo per prendere sul serio le vulnerabilità divulgate pubblicamente: i tentativi sono arrivati rapidamente, anche se non sono stati segnalati attacchi riusciti. WIRED non specifica le versioni interessate né le patch, quindi gli amministratori dovranno consultare le indicazioni ufficiali di PHP, senza dedurre da soli se i propri sistemi siano esposti.
