Due vulnerabilità critiche scoperte nel linguaggio di programmazione PHP stanno creando seri problemi a siti di ogni dimensione, da 4chan a DeviantArt, passando per Wikipedia e migliaia di blog personali. Le falle, ribattezzate PHP2Shell, sono state individuate con l'ausilio dell'intelligenza artificiale e riguardano una porzione enorme dell'infrastruttura web: secondo il servizio di rilevamento W3Techs, PHP alimenta il 69,3% dei siti internet di cui si conosce il linguaggio lato server, incluso qualsiasi progetto basato su WordPress.
Un bug vecchio di vent'anni, reso letale dall'AI
La vulnerabilità non è affatto nuova: sarebbe presente in PHP da circa vent'anni, ma fino a oggi sfruttarla richiedeva una catena di passaggi talmente complessa da risultare al limite delle capacità umane, secondo la società di sicurezza Wiz. I modelli di intelligenza artificiale hanno però abbattuto questa barriera, trasformando un bug oscuro in una minaccia concreta e facilmente accessibile. OpenAI, che rivendica la scoperta tramite il proprio gruppo di sicurezza AI Calif e il modello GPT-5.6 Sol, ha parlato di «uno dei problemi di sicurezza più impattanti degli ultimi tempi». Anche Wiz non ha usato mezzi termini, definendola «tra le vulnerabilità più gravi mai scoperte nella storia del software».
Rischio controllo totale dei server
Le due falle, identificate come CVE-2026-109618 e CVE-2026-109619, consentono attacchi di tipo remote code execution non autenticato: un malintenzionato potrebbe eseguire codice arbitrario, modificare contenuti e accedere ai dati memorizzati senza bisogno di credenziali da amministratore. In pratica, un attaccante potrebbe prendere il controllo completo del server, rubare password, chiavi API, certificati crittografici e interi database. Il CTO di Cloudflare ha già segnalato «attacchi precoci in corso», mentre agenzie governative di Paesi Bassi e Finlandia hanno messo offline i propri siti per precauzione, così come l'NSA e il Centro britannico per la cybersicurezza hanno consigliato di disconnettere i sistemi in assenza di aggiornamenti immediati.
Per gli utenti comuni il rischio diretto è limitato, ma i siti compromessi potrebbero diffondere malware o rubare dati sensibili. Chi gestisce un sito, anche un semplice blog, deve invece verificare subito la versione di PHP in uso e applicare le patch. I servizi come Squarespace e Wix sono al sicuro perché non supportano PHP, mentre i clienti di hosting come GoDaddy, Hostinger e Bluehost dovrebbero considerare il proprio sito potenzialmente vulnerabile e aggiornare appena possibile. Le versioni PHP 8.1 o precedenti non riceveranno alcuna correzione ufficiale: in quel caso l'unica strada è passare a una release più recente.
