PHP2Shell, la falla che ha spento mezzo web e ci dice come saranno le prossime.

Mercoledì 21 ottobre 2026 molti amministratori di sistema hanno passato la giornata incollati a un aggiornamento. Due vulnerabilità critiche nel cuore di PHP, il linguaggio su cui gira circa il 70% dei siti del mondo, hanno costretto aziende e governi a una corsa contro il tempo che le cronache hanno già ribattezzato PHP2Shell.

Cosa è successo

La storia comincia martedì 20, quando in rete circolano indiscrezioni su due falle di esecuzione di codice da remoto che sarebbero state annunciate il giorno dopo. Gli esperti confermano che la fuga di notizie è vera, e il team di PHP anticipa i tempi con un avviso: la patch arriverà mercoledì alle 14:00 UTC. Le correzioni sono contenute nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Chi usa PHP 8.1 o versioni precedenti deve passare a una versione più recente.

La scoperta è attribuita a Wiz Research. Secondo la sua analisi, le falle riguardano il motore di PHP indipendentemente dall’applicazione che ci gira sopra, e ogni versione rilasciata nell’ultimo decennio, fino alla 5.4, è toccata da almeno una delle due. È questo il punto che spiega l’allarme: non si tratta di un plugin difettoso o di un CMS mal configurato, ma delle fondamenta. Il team di PHP ha indicato come rischio più alto mod_php, dove una richiesta non autenticata può innescare l’attacco prima che giri qualsiasi codice dell’applicazione.

Le reazioni

La risposta istituzionale è stata insolitamente drastica. Il Guardian racconta di siti olandesi, tedeschi, belgi, finlandesi e francesi spenti temporaneamente dai rispettivi governi. Anche l’agenzia olandese per la cybersicurezza è andata offline per precauzione. L’NCSC britannico, insieme alle controparti europee e australiane, ha chiesto di applicare le correzioni, e a chi non riusciva ad aggiornare subito ha suggerito di valutare lo spegnimento dei sistemi; lo stesso ha fatto la NSA americana. La BBC aggiunge che il governo britannico sta ancora verificando quali dei suoi servizi siano esposti.

Sul fronte del racconto, le testate hanno preso strade diverse. The Verge sceglie un tono quasi ironico, elencando 4chan, DeviantArt e Wikipedia tra i siti in difficoltà, insieme al blog dove il bar dietro l’angolo pubblica le foto dei cani dei clienti. Le testate spagnole e francesi (El Mundo, Expansión, France 24, BBC Mundo) puntano sulla divulgazione: cos’è PHP, perché regge il web, perché una sua crepa fa tremare tutti. Fortune e le agenzie inquadrano la vicenda come un nuovo fronte della guerra tra chi usa l’intelligenza artificiale per attaccare e chi la usa per difendersi.

Il ruolo dell’IA

Qui la storia diventa più interessante. Wiz sostiene che modelli di IA avanzati siano stati usati per concatenare queste falle di memoria, complesse da sfruttare, in exploit funzionanti. I ricercatori che le hanno individuate lavorano per Calif, OpenAI e Wiz. Per qualche testata è la prova che l’IA riesce a stanare bug rimasti nascosti per anni; per altre è un campanello d’allarme, perché la stessa tecnologia abbassa la soglia di competenza necessaria per trasformare un difetto teorico in un’arma.

Dove le fonti non coincidono

I resoconti divergono su alcuni dettagli. Alcune testate parlano di un errore nascosto per decenni, altre di oltre un decennio. Gli sviluppatori di PHP hanno valutato le falle 9,2 su 10, mentre la società watchTowr le ha giudicate un 10 pieno. Resta anche una domanda: secondo i report, la rete di honeypot di Amazon ha registrato un tentativo di sfruttamento il 17 ottobre, quattro giorni prima della divulgazione pubblica. E la Casa Bianca ha dichiarato di essere stata informata il 16 ottobre. Se qualcuno si è mosso prima della patch, la finestra di rischio era già aperta mentre il resto del mondo non sapeva nulla.

Il commento

Dopo aver messo in fila le fonti, mi sembra che il titolo vero sia un altro. La cifra del 70% è un tetto, non una stima dei siti effettivamente bucati: il numero di quelli davvero compromessi, per ora, non è noto, e molti spegnimenti sono stati preventivi. Il rischio è reale, ma va distinto dal panico. Chi ha paragonato PHP2Shell a Heartbleed o Log4Shell sta indicando la potenziale portata, non i danni già accertati.

Quello che colpisce è la compressione dei tempi. Un sistema di divulgazione coordinata, pensato per dare ai difensori qualche giorno di vantaggio, è stato scavalcato da una fuga di notizie in poche ore. Se strumenti di IA accorciano anche il tempo tra la scoperta di un bug e il suo sfruttamento, la finestra tra “la patch esiste” e “il sito è aggiornato” diventa il vero campo di battaglia. E quella finestra, spesso, la decide un lavoro poco glamour: sapere dove gira PHP, anche dentro prodotti di terze parti, e aggiornarlo.

La patch c’è, ed è la notizia buona. La cattiva è che la prossima volta potrebbe esserci meno tempo per scriverla.