L'intelligenza artificiale ha contribuito a trovare PHP2Shell, ma il piano di divulgazione è comunque fallito

I modelli di Frontier AI hanno contribuito a scoprire PHP2Shell, due vulnerabilità critiche nel motore PHP alla base di circa 70% dei siti web, e la corsa per correggerle dimostra quanto velocemente l'IA stia riducendo il tempo di reazione dei difensori.

PHP ha rilasciato correzioni il 21 ottobre nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 e ha esortato tutti gli utenti ad aggiornare immediatamente. Le due vulnerabilità, CVE-2026-109618 e CVE-2026-109619, hanno entrambe un punteggio di 9.2 secondo CVSS v4.0 e possono consentire l'esecuzione di codice remoto senza autenticazione.

Come l'IA l'ha scoperto

Secondo OpenAI, La società di sicurezza Calif ha identificato una delle vulnerabilità utilizzando GPT-5.6 Sol tramite il programma Patch the Planet di OpenAI, mentre Wiz le ha individuate e segnalate entrambe in modo indipendente. Wiz dice Ha utilizzato i propri strumenti insieme a Gemini 4 Argon e GPT-5.6 Sol e ha dimostrato l'esecuzione di codice senza autenticazione su WordPress, Drupal e Joomla.

Wiz afferma che ogni versione di PHP rilasciata nell'ultimo decennio, a partire dalla 5.4, è affetta da almeno uno di questi bug. Sfruttarli richiedeva una serie di passaggi "al limite di ciò che i ricercatori umani potevano realisticamente realizzare", e i modelli di frontiera "hanno ridotto sostanzialmente tale barriera".“

L'embargo non ha retto

Il rilascio coordinato era previsto per il 22 ottobre. Come Secondo quanto riportato da TechTarget,, Il 20 ottobre, i codici CVE hanno iniziato a circolare sui forum, quindi PHP ha anticipato di un giorno la data di rilascio. Il distributore Chainguard ha poi pubblicato le immagini corrette con diverse ore di anticipo, una mossa criticata dalla PHP Foundation e difesa dal CEO di Chainguard, che ha citato segnalazioni di sfruttamento attivo della vulnerabilità.

Amazon afferma che i suoi honeypot hanno rilevato tentativi di sfruttamento già a partire dal 17 ottobre. Il CEO di Cloudflare, Matthew Prince, ha dichiarato che i tentativi sulla sua rete hanno raggiunto "milioni" dopo l'annuncio.

Il manuale operativo proposto da OpenAI

OpenAI ha sfruttato l'episodio per proporre una risposta in cinque fasi ai bug rilevati dall'IA che colpiscono contemporaneamente molti prodotti: convalidare e correggere il difetto (inclusa la verifica della patch sui modelli di frontiera), dare alle organizzazioni interessate il tempo di agire, coordinarsi con i partner governativi, preparare aggiornamenti per tutti i prodotti e infine pubblicare delle linee guida.

L'azienda afferma che questi bug rientrano tra le numerose vulnerabilità significative già individuate e prevede che il numero di scoperte simili "aumenterà notevolmente nei prossimi mesi".“

Perché è importante

I ricercatori hanno dimostrato Gli agenti LLM possono sfruttare vulnerabilità note per un po'. PHP2Shell è quella capacità su scala internet e arriva la stessa settimana in cui OpenAI ha rivelato che il suo agenti di codifica propri indebolito monitoraggio della sicurezza.

Se i modelli possono trovare e sfruttare i bug così rapidamente, gli embarghi lunghi sembrano fragili. Per chiunque utilizzi PHP, compresi i siti WordPress, il consiglio È semplice: aggiorna il runtime PHP e riavvia ogni worker. Aggiornare solo l'applicazione non risolve il problema del PHP sottostante.