Cloudflare avverte: l'AI continuerà a scovare gravi falle nei software critici per molti anni a venire (aggiornato: 26 ottobre 2026, ore 06:59)

«Ogni singola settimana sembrerà che stia crollando il cielo». Non è la profezia di un predicatore apocalittico. A dirla è Matthew Prince, CEO di Cloudflare, l'azienda che sta davanti a una fetta considerevole del traffico web mondiale. In un'intervista a Reuters, Prince ha dichiarato di essere a conoscenza di altre vulnerabilità gravi in software critici, senza però indicare quali. La previsione arriva a ridosso della crisi che, nei giorni scorsi, ha costretto diversi siti europei a spegnersi per correre ad aggiornare PHP. La causa, secondo Prince, sono i modelli linguistici di grandi dimensioni, gli LLM, che ricercatori di sicurezza e criminali usano per setacciare il software alla base di Internet. In gioco c'è l'equilibrio tra chi difende e chi attacca. Se scoprire una falla e trasformarla in un exploit diventa questione di ore, il tempo che un amministratore ha per applicare la patch si restringe nella stessa misura.

Le falle di PHP: siti governativi e GOG offline

L'episodio che fa da sfondo alle parole di Prince riguarda una serie di vulnerabilità in PHP, il linguaggio che secondo alcune stime gira su circa il 70% dei siti web del pianeta. Per tamponare le falle sono andati offline diversi siti di governi europei, lo store di videogiochi GOG e una lunga coda di siti minori, compresa una image board della comunità furry.

» Leggi: Allarme rosso per PHP: due vulnerabilità critiche consentono l'hack immediato di qualsiasi sito (PHP2Shell)

Un dettaglio va tenuto presente: un sito spento non è necessariamente un sito compromesso. Molti spegnimenti sono stati precauzionali, per evitare lo sfruttamento delle falle prima che la patch fosse installata.

Tra i gruppi che hanno individuato le falle c'è Wiz Research, che ha lavorato con l'aiuto di strumenti basati su LLM. Prince, del resto, alla fine prevede un miglioramento. «La realtà è che riusciremo a ripulire buona parte di questa roba», ha detto, paragonando il processo allo sgombero dei mostri da una casa infestata.

Da settimane a ore: l'economia delle falle è cambiata

Finora il ritmo delle scoperte dipendeva da una risorsa scarsa: le persone competenti, con il tempo e la pazienza necessari per leggere codice complesso. Lo stesso limite valeva per gli attaccanti, che dovevano trasformare una falla in un exploit funzionante. Servivano settimane o mesi, e quel ritardo era il margine dei difensori per aggiornare. Oggi un modello può analizzare il codice di continuo e aiutare a produrre un exploit in poche ore. Una singola persona può lanciare una flotta di agenti LLM contro un progetto e ottenere in un pomeriggio il lavoro che prima richiedeva settimane di specialisti.

Wiz Research lo mette nero su bianco. «I modelli di frontiera sono stati fondamentali per rendere praticabile questo processo, consentendoci di sviluppare e adattare exploit funzionanti su più applicazioni nel giro di ore», scrivono i ricercatori. «Man mano che il tempo e le competenze necessari si riducono, la complessità potrebbe non costituire più una barriera significativa, e questo cambia il modo in cui definiamo che cosa sia vulnerabile nella pratica». Secondo Wiz, è cambiata l'economia sia della scoperta sia dello sfruttamento.

La conseguenza è scomoda. Per anni si è dato per scontato che il codice ostico fosse in parte protetto, perché pochi erano in grado di smontarlo. Se a smontarlo è un modello, il codice oscuro diventa accessibile quanto quello semplice. Non è sicurezza tramite oscurità in senso stretto, ma le somiglia parecchio. E smette di funzionare.

I numeri: il doppio delle vulnerabilità in un anno

Secondo una ricerca di VulnCheck, l'AI ha contribuito a raddoppiare in un anno il numero di vulnerabilità scoperte. La Electronic Frontier Foundation fornisce un dato ancora più vistoso. Il 3% di tutte le vulnerabilità software mai registrate sarebbe emerso nel solo mese di ottobre, e quasi un quarto dei problemi di sicurezza noti sarebbe stato scoperto quest'anno.

Il caso PHP, poi, non è isolato. Nello stesso periodo si sono susseguite segnalazioni che riguardano Node.js e le librerie per Brotli:

» Leggi: Allarme rosso per Node.js: falla critica consente l'hack immediato di molti siti (Node2Shell)

» Leggi: Da Node2Shell a HTTP2Shell: Brotli mette in pericolo anche Python, C++, bun, Envoy

Cosa cambia per chi gestisce server e siti

Per chi amministra un server, la lezione pratica è che la finestra tra la divulgazione di una falla e il primo exploit si sta accorciando. Seguire gli avvisi di sicurezza dei componenti che si usano, a cominciare da PHP, e avere già pronta una procedura di aggiornamento rapido non è più buona prassi: è il minimo indispensabile. Lo stesso vale per i servizi esposti che non si sa più di avere. Se le previsioni di Prince sono corrette, quella mattina frenetica diventerà la normalità per anni.

Fonti: techspot.com, blog.aimactgrow.com, thedailystar.net