L'IA scopre una grave falla «PHP2Shell» che minaccia il 70 % dei siti web nel mondo

Il 21 ottobre 2026, strumenti di sicurezza basati sull'intelligenza artificiale sviluppati da OpenAI e Google Wiz hanno individuato due vulnerabilità critiche zero-day in PHP, il linguaggio di scripting lato server su cui si basa oltre il 70 % di tutti i siti web. Denominate «PHP2Shell» e identificate con i codici CVE-2026-109618 e CVE-2026-109619, le falle permettono agli aggressori di eseguire da remoto codice dannoso su qualsiasi server PHP non aggiornato, dando loro potenzialmente il controllo totale dei siti web e dei dati che contengono.

La PHP Foundation ha rilasciato patch d'emergenza in anticipo rispetto al previsto dopo che i sistemi di IA avevano segnalato i bug; la finestra di sfruttamento resta tuttavia ampia. Le agenzie per la cybersicurezza di Australia, Stati Uniti, Regno Unito, Unione Europea e Giappone hanno emesso avvisi urgenti, chiedendo agli amministratori web di applicare immediatamente le patch o di disconnettere i server interessati.

La scoperta ha riacceso il dibattito sul doppio ruolo dell'IA nella cybersicurezza: gli stessi modelli capaci di individuare i bug possono anche aiutare attori malintenzionati a sfruttarli più rapidamente di quanto le difese tradizionali riescano a reagire.