Falle storiche in PHP scoperte dall’AI: perché c’è allarme e come mettere in sicurezza subito il tuo sito

Due vulnerabilità rimaste nascoste per anni in PHP hanno costretto diversi servizi pubblici europei a fermarsi. L’intelligenza artificiale di OpenAI e Google ha mostrato come sfruttarle. Ecco cosa è successo, perché è grave e le mosse immediate per proteggerti.

Che cosa è successo (e perché tutti ne parlano)

Due falle critiche nel motore che esegue PHP (una delle tecnologie più diffuse per il web) sono emerse con un impatto potenzialmente enorme. Parliamo di vulnerabilità ribattezzate “PHP2Shell”, capaci in alcuni scenari di consentire l’esecuzione di codice da remoto senza autenticazione. In pratica: un hacker può inviare una richiesta “su misura” e fare eseguire al server istruzioni non autorizzate.

Per precauzione, più servizi istituzionali in Europa (tra cui in Finlandia, Paesi Bassi, Francia e Germania) hanno interrotto temporaneamente l’accesso. La gravità non sta solo nel bug in sé: anche applicazioni sviluppate correttamente possono risultare esposte se l’ambiente sottostante non è aggiornato.

Perché il problema è così critico (anche se il tuo codice è “pulito”)

PHP è la spina dorsale di una fetta enorme del web: piattaforme come WordPress e persino progetti enciclopedici usano questo linguaggio. Le vulnerabilità emerse toccano l’esecutore di PHP, non il tuo tema o il tuo plugin. Significa che la superficie d’attacco sta “sotto” la tua app. E quando il rischio è l’esecuzione di codice da remoto senza login, la priorità si chiama patch immediata.

L’AI entra in scena

Secondo quanto riportato da TechCrunch, i ricercatori di OpenAI e del team Wiz di Google hanno utilizzato sistemi di intelligenza artificiale per individuare e, soprattutto, dimostrare in modo riproducibile come queste falle potessero essere sfruttate. La parte importante è proprio questa: l’AI non solo ha aiutato a scovare l’anomalia, ma ha accelerato la verifica dell’impatto reale, spingendo per una risposta coordinata e per il rilascio delle patch prima della divulgazione pubblica.

È un cambio di passo nella cybersicurezza: l’AI consente di trovare pattern rischiosi e costruire soluzioni tecniche efficaci. Ma la medaglia ha due facce: le stesse capacità possono essere replicate dagli hacker per industrializzare la ricerca di falle. Chi amministra i sistemi deve accorciare i tempi di aggiornamento e migliorare i processi.

Una vulnerabilità “antica”, un problema attuale

Le falle affondano le radici in versioni di PHP rilasciate molti anni fa e possono ereditarsi su ambienti rimasti indietro con gli aggiornamenti. È la classica questione tecnologica: funziona, quindi nessuno tocca. Finché l’AI non illumina il problema. Se gestisci siti o applicazioni in PHP, non dare per scontato che “nessuno ti noterà”: la disponibilità di PoC e guida automatizzata rende la vita facile anche a chi non è un super esperto.

Cosa fare subito: checklist pratica per chi usa PHP

• Mappa gli ambienti: inventaria siti, microservizi, cron job e API che girano in PHP (produzione, staging, test). Spesso il rischio è in un sottodominio “dimenticato”.
• Applica le patch ufficiali di PHP: aggiorna alla release corretta per il tuo ramo (supportato). Evita versioni end-of-life. Se usi un hosting gestito, apri subito un ticket per verificare tempistiche di aggiornamento lato server.
• Ricompatta lo stack: controlla PHP-FPM, web server (Nginx/Apache) e moduli caricati. Riduci la superficie: disabilita estensioni inutili, rivedi impostazioni di esecuzione e upload.
• Testa in staging prima del go-live: verifica funzionalità core (login, pagamenti, form) e compatibilità con CMS/plugin. Prepara un piano di rollback.
• Mitigazioni temporanee: se non puoi patchare subito, valuta regole WAF/IDS, rate limiting e blocchi su pattern noti. Attiva il verbose logging su errori e accessi sospetti.
• Backup e monitoraggio: esegui un backup completo prima dell’aggiornamento e configura alert su anomalie (spike di 500, processi PHP insoliti, file modificati in wp-content o directory equivalenti).
• Coinvolgi i fornitori: agenzie, plugin premium, estensioni personalizzate. Pretendi un piano di compatibilità e patch window chiare.
• Documenta e ripeti: crea una runbook di risposta a vulnerabilità critiche. La prossima volta risparmierai ore.

Oltre l’emergenza: sicurezza come processo, non come evento

Il caso “PHP2Shell” mostra bene la realtà: trovare la falla è solo il primo passo. La differenza la fa il tempo di reazione e la disciplina operativa. Alcune buone pratiche da mettere a regime:

• Patch management continuo: finestre mensili di aggiornamento, con verifica automatica delle versioni e alert su EOL.
• Automazione della sicurezza: scanner SCA/SAST nel CI, inventory dinamico e dipendenze tracciate (SBOM) per sapere subito dove sei esposto.
• Riduzione del legacy: pianifica la dismissione di versioni vecchie di PHP e librerie non più mantenute. Meno complessità = meno rischio.
• Principio del minimo necessario: limita permessi, moduli e funzioni attive. Se una feature non serve, è un potenziale vettore in meno.
• Formazione del team: chi decide tempi e budget deve capire l’impatto di una RCE. La sicurezza non è un costo, è continuità di servizio.

L’intelligenza artificiale sta accelerando tutto. Difendersi oggi significa anticipare, standardizzare i processi e accorciare le distanze tra sviluppo, operations e sicurezza. Aggiornare non basta: serve un ciclo di vita sicuro, continuo e misurabile.

Per scoprire tutti i dettagli e l’opinione personale di Mario Moroni, ascolta la puntata completa su Spotify.