Le vulnerabilità PHP, emerse il 21 ottobre 2026, hanno innescato una corsa globale alla gestione del rischio digitale. Queste falle critiche nel linguaggio server-side, che alimenta una vasta porzione del web (compresi molti siti basati su WordPress), trasformano un aggiornamento di sicurezza in una questione di continuità operativa per milioni di servizi. La pressione sul web è palpabile, coinvolgendo hosting provider, aziende e amministratori.
Le vulnerabilità PHP: scoperta e rischio
Le due falle, CVE-2026-109618 e CVE-2026-109619, sono state classificate con un punteggio di 9,2 su 10 nel sistema CVSS, indicando una criticità elevata.
Il pericolo principale è l’esecuzione di codice da remoto senza autenticazione, consentendo a un attaccante di eseguire comandi arbitrari su un server vulnerabile. PHP ha prontamente rilasciato aggiornamenti correttivi per le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, invitando gli amministratori a un aggiornamento immediato.
Tali vulnerabilità PHP sono rilevanti in configurazioni specifiche, come Apache con mod_php, e in contesti dove i componenti interni del runtime sono esposti precocemente. Questo rende insufficienti le difese a livello di plugin o CMS, poiché l'attacco mira a un livello più profondo dello stack, all'esecuzione del linguaggio.
Il ruolo dell’intelligenza artificiale nella ricerca dei bug
La scoperta di queste falle ha visto un ruolo centrale di OpenAI e Wiz, società di sicurezza di Google. Le vulnerabilità sono emerse grazie a ricerche assistite da modelli avanzati di intelligenza artificiale, nell'ambito di iniziative per identificare difetti nel software open source. Ciò evidenzia un cambiamento: l’intelligenza artificiale non è solo un potenziale rischio, ma uno strumento che accelera analisi e individuazione di pattern vulnerabili.
Questa dinamica introduce una simmetria delicata. Se l'AI aiuta i ricercatori ad anticipare gli attaccanti, gruppi ostili possono usarla per adattare exploit. La sicurezza del software entra così in una fase più compressa, riducendo il tempo tra divulgazione, patch e tentativi di attacco.
Panico e misure precauzionali: l'impatto sul web
L'emergenza ha generato preoccupazione, spingendo governi e agenzie in Finlandia, Paesi Bassi e Francia a mettere offline siti o servizi pubblici come misura precauzionale. Il rischio riguarda principalmente gestori di siti, hosting provider e amministratori di server, non gli utenti comuni che non devono installare patch.
È fondamentale chiarire che affermazioni virali sui social media, riguardanti vulnerabilità in versioni di PHP risalenti al 2004, sono imprecise. La raccomandazione principale è di aggiornare PHP immediatamente, verificare con il proprio hosting provider e pianificare l'abbandono delle versioni non più supportate (PHP 8.1 o precedenti) per la massima sicurezza dell'infrastruttura web.
