In breve
Falle in PHP, scoperte con l'AI, hanno spinto governi e agenzie a chiedere patch immediate o lo spegnimento dei siti non aggiornabili.
Cosa è successo
Mercoledì 21 ottobre 2026 gli sviluppatori di PHP hanno rilasciato patch per vulnerabilità presenti nel software da anni. Secondo la BBC, i difetti erano rimasti inosservati per oltre un decennio e sono emersi grazie all'intelligenza artificiale. La società di sicurezza Wiz, i cui ricercatori hanno contribuito alla scoperta, le ha definite le «più gravi» mai rilevate da un'AI. OpenAI, la cui tecnologia è stata usata, ha parlato di «uno dei problemi di sicurezza più rilevanti degli ultimi tempi».[1]
PHP è usato dagli anni Duemila per costruire siti web e alimenta negozi online, Wikipedia e WordPress. Il Guardian stima che circa il 70% dei siti lo usi. Secondo la BBC, un difetto potrebbe consentire a un attaccante di prendere il controllo dei server web senza autenticazione e di rubare dati sensibili.[1, 2]
La risposta delle autorità è stata coordinata. La National Security Agency statunitense ha chiesto di mettere offline i sistemi che non si possono aggiornare subito. Il National Cyber Security Centre britannico ha invitato a cercare «backdoor» installate da attaccanti. Alert simili sono arrivati da Unione europea, Singapore e Australia. La premier giapponese Sanae Takaichi ha chiesto su X di verificare se i siti pubblici usassero PHP.[1]
Wikimedia ha spento alcuni sistemi in via precauzionale. Hanno messo offline siti o pagine il governo finlandese, il consiglio comunale di Edimburgo, la BBC e l'agenzia olandese per la cyber-sicurezza, oltre a diversi enti pubblici scozzesi.[1, 2]
Divergenza fra le fonti Le fonti non misurano la stessa cosa. Il Guardian stima la diffusione di PHP, circa il 70% dei siti. Paul Spain, citato dalla BBC, parla di «milioni e milioni» di siti potenzialmente colpiti. Gli estratti non danno il numero di siti realmente vulnerabili: l'uso di PHP non equivale all'esposizione.[1, 2]
Perché conta
Interpretazione: il caso mostra l'AI come strumento di audit su codice maturo e diffuso, capace di trovare ciò che anni di revisione umana non avevano visto. Lo stesso strumento può servire a chi attacca: Paul Spain osserva che l'AI può rendere gli attacchi più facili e rapidi.[1]
Il rischio maggiore riguarda la coda lunga del web. Secondo gli esperti citati dalla BBC, i siti di piccole organizzazioni con poche risorse sono i più esposti. Salil Kanhere dell'UNSW Sydney ritiene probabili nuovi tentativi di sfruttamento nelle prossime settimane, ora che i dettagli tecnici sono pubblici.[1]
Colpisce anche il rimedio: spegnere il servizio se non si può correggere. Con una componente così diffusa, la disponibilità del sito può diventare la variabile sacrificabile.[1]
Il segnale futuro
Scenario, non certezza: se l'AI diventa un revisore standard del codice open source, altre scoperte tardive in componenti considerate stabili sono plausibili. Il vantaggio andrebbe a chi corregge più in fretta di quanto altri riescano a sfruttare.
Il collo di bottiglia sarebbe allora l'applicazione delle patch lungo la filiera di hosting, agenzie web e piccole organizzazioni.
Cosa osservare adesso
Tentativi di sfruttamento
Verificare se le agenzie nazionali segnalano attacchi reali e backdoor, come quelle citate dal National Cyber Security Centre britannico.[1]
Dettagli tecnici e perimetro
Gli estratti non indicano versioni interessate né numero di siti vulnerabili: servono i bollettini ufficiali di PHP e dei produttori.[1, 2]
Audit con AI su altro codice
Osservare se altri progetti open source diffusi annunceranno analisi analoghe e come cambieranno le pratiche di divulgazione.
Metodologia
Articolo basato su BBC e The Guardian, pubblicati il 22 ottobre 2026, in estratto parziale. «Mercoledì» è stato convertito in 21 ottobre 2026. Le valutazioni di gravità sono dichiarazioni di Wiz e OpenAI, non verifiche indipendenti.[1, 2]
Fonti
- bbc.com · Fonte giornalistica PHP: What is it and why did it spark a global cyber security scramble? Pubblicata il 22 ottobre 2026 · consultata il 22 ottobre 2026
- The Guardian — Technology · Fonte giornalistica What is PHP, and how bad is the computer language flaw causing website shutdowns globally? Pubblicata il 22 ottobre 2026 · consultata il 22 ottobre 2026