AI Security23 ott 2026

PHP2Shell: l'AI scopre falle critiche nel cuore di PHP

I ricercatori di Calif, nell'iniziativa Patch the Planet di OpenAI, hanno trovato con GPT-5.6 Sol falle critiche nel motore di PHP, il linguaggio che fa girare circa il 70% dei siti web. Wiz le ha scoperte in modo indipendente, usando anche Gemini 4 Argon e GPT-5.6 Sol.
Si chiamano PHP2Shell (CVE-2026-109618 e CVE-2026-109619, CVSS fino a 9.2): bug di gestione della memoria che permettono di eseguire codice da remoto senza login e di leggere la memoria del server (password, token, chiavi API). Il problema è in PHP stesso, non nelle app: Wiz ha mostrato attacchi su WordPress, Drupal e Joomla, ma basta anche un "Hello World". Colpita quasi ogni versione dalla 5.4 in poi.
OpenAI ha coordinato per 2 mesi maintainer di PHP, ricercatori, Cloudflare, AWS, Google, Microsoft e agenzie USA (fra cui la CISA) per preparare patch e mitigazioni prima della pubblicazione: è la sua "Defender's Window", l'AI che trova i bug prima degli attaccanti.
Cosa fare: aggiornare subito a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (usciti il 21 ottobre). Secondo PHP non ci sono mitigazioni complete: aggiornare è l'unica soluzione sicura. Le versioni fino alla 8.1 non ricevono la patch. OpenAI ha pubblicato un checker della versione PHP, usabile anche come skill di Codex.

Fonti

AI Security23 ott 2026

I ricercatori di Calif, nell'iniziativa Patch the Planet di OpenAI, hanno trovato con GPT-5.6 Sol falle critiche nel motore di PHP, il linguaggio che fa girare circa il 70% dei siti web. Wiz le ha scoperte in modo indipendente, usando anche Gemini 4 Argon e GPT-5.6 Sol.
Si chiamano PHP2Shell (CVE-2026-109618 e CVE-2026-109619, CVSS fino a 9.2): bug di gestione della memoria che permettono di eseguire codice da remoto senza login e di leggere la memoria del server (password, token, chiavi API). Il problema è in PHP stesso, non nelle app: Wiz ha mostrato attacchi su WordPress, Drupal e Joomla, ma basta anche un "Hello World". Colpita quasi ogni versione dalla 5.4 in poi.
OpenAI ha coordinato per 2 mesi maintainer di PHP, ricercatori, Cloudflare, AWS, Google, Microsoft e agenzie USA (fra cui la CISA) per preparare patch e mitigazioni prima della pubblicazione: è la sua "Defender's Window", l'AI che trova i bug prima degli attaccanti.
Cosa fare: aggiornare subito a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (usciti il 21 ottobre). Secondo PHP non ci sono mitigazioni complete: aggiornare è l'unica soluzione sicura. Le versioni fino alla 8.1 non ricevono la patch. OpenAI ha pubblicato un checker della versione PHP, usabile anche come skill di Codex.