Il tracollo di PHP mostra come l’IA renda i bug più sfruttabili

Una nuova ondata di tentativi di sfruttamento ha travolto il mondo digitale questa settimana, mentre hacker criminali si sono affrettati a capitalizzare su bug PHP recentemente resi pubblici. Milioni di tentativi di attacco sono stati registrati a poche ore dalla pubblicazione delle vulnerabilità, secondo l’analisi di Cloudflare, una rapidità attribuibile in parte all’ampio accesso a strumenti di intelligenza artificiale (AI) che facilitano lo sfruttamento rapido delle falle.

Nonostante la frenesia, lo scenario peggiore di acquisizioni di massa e violazioni su larga scala non si è finora concretizzato. La PHP Foundation ha dichiarato di non aver rilevato alcuno sfruttamento riuscito dei bug, collettivamente battezzati PHP2Shell, e molti exploit potenziali circolanti pubblicamente sembrano essere inefficaci.

Tuttavia, il ruolo più interessante dell’AI in questo caos è forse come i modelli avanzati abbiano aiutato i ricercatori a scoprire modi pratici per sfruttare vulnerabilità note, almeno in parte, da anni. In altre parole, l’AI ha contribuito a trasformare una vulnerabilità storica in una crisi attuale.

I ricercatori della società di sicurezza Calif sono stati i primi a identificare le vulnerabilità PHP2Shell e a creare exploit all’inizio di agosto. Hanno utilizzato in parte strumenti AI avanzati nell’ambito del programma “Patch the Planet” di OpenAI, ma anche l’esperienza umana sulla dinamica e le debolezze di PHP. Alcuni dei problemi sottostanti erano stati individuati nel 2024, ma erano stati ritenuti troppo complessi da sfruttare all’epoca. A seguito della scoperta di Calif, ricercatori di OpenAI e dell’azienda di sicurezza Wiz (di proprietà di Google) hanno scoperto indipendentemente le falle PHP2Shell utilizzando strumenti AI.

“La vulnerabilità era nota al team PHP da anni, ma poiché non poteva essere sfruttata da un aggressore – almeno, non da uno umano – non era stata risolta,” ha affermato Sagi Tzadik, ricercatore di sicurezza presso Wiz.

Nessun software è perfetto. Ci sono inevitabilmente difetti anche negli strumenti digitali più critici e fondamentali. Tuttavia, le crescenti capacità dei modelli AI hanno reso più rapido analizzare e potenzialmente sfruttare le vulnerabilità. Questo mette una pressione ancora maggiore su team IT, sviluppatori e amministratori, spesso con risorse limitate, per tenere il passo. Solo questo mese, gli aggiornamenti di sicurezza di Microsoft hanno incluso un record di 1.453 vulnerabilità. Nel frattempo, Bank of America ha recentemente assunto 1.000 consulenti per correggere i difetti scoperti da Mythos di Anthropic.

I ricercatori di sicurezza sottolineano, tuttavia, che l’AI in ultima analisi non sta facendo nulla di radicalmente nuovo, ma sta piuttosto amplificando le dinamiche esistenti di scoperta delle vulnerabilità e di divulgazione coordinata.