Patch the Planet! È stata OpenAI a scoprire la vulnerabilità critica PHP2Shell (aggiornato: 21 ottobre 2026, ore 21:24)

Contestualmente alla disponibilità delle patch per la super-vulnerabilità PHP2Shell, OpenAI ha annunciato di essere la responsabile della scoperta. L'azienda ha lavorato per circa due mesi lontano dai riflettori, coordinando una coalizione di manutentori, ricercatori e aziende di sicurezza. È questo il caso che OpenAI porta come biglietto da visita per l'espansione del programma Patch the Planet. La novità è una proposta di processo internazionale in cinque fasi per gestire le falle critiche, costruita proprio sull'esperienza PHP. L'obiettivo dichiarato è ridurre il tempo che separa la scoperta di un bug dall'arrivo delle protezioni sui sistemi a valle.

Il caso PHP: due falle e una modifica al motore

Le vulnerabilità corrette nell'ambito della risposta coordinata sono due. Una delle falle critiche è stata individuata da Calif utilizzando GPT-5.6 Sol. Wiz, invece, ha scoperto e segnalato in modo indipendente entrambe le vulnerabilità.

La correzione vera e propria è stata guidata e rilasciata dai manutentori di PHP. OpenAI, Wiz, Cloudflare e gli altri partecipanti hanno fornito ricerca, supporto tecnico, test e coordinamento. I tempi lunghi, circa due mesi, sono stati necessari perché la correzione era «piuttosto intricata e ha richiesto una modifica importante al motore di PHP», ha spiegato OpenAI.

» Leggi anche: [Agg: update ora disponibile] Allarme rosso per PHP: due vulnerabilità critiche consentono l'hack immediato di qualsiasi sito (PHP2Shell)

Cinque fasi, dal fix upstream ai server

Il processo proposto da OpenAI coinvolge manutentori, ricercatori, fornitori di infrastrutture cloud ed enti governativi per la cybersicurezza. Le fasi sono cinque:

1. Validare e correggere la vulnerabilità upstream, con test di tipo avversariale.
2. Dare tempo alle organizzazioni coinvolte, tramite contatti diretti e coordinamento.
3. Coordinarsi con i partner governativi, come CISA e ONCD, per proteggere i sistemi critici.
4. Preparare gli aggiornamenti dei prodotti interessati insieme a distributori e fornitori.
5. Pubblicare le indicazioni e supportare la distribuzione, una volta pronta la patch.

Si tratta appunto di una proposta, non di uno standard già adottato. Non risultano dati sulla sua efficacia al di fuori del caso PHP, che OpenAI descrive invece come una coalizione già guidata con successo.

Quanto ha contato davvero l'AI

OpenAI non ha usato mezzi termini. Ha definito il bug «una delle vulnerabilità più impattanti degli ultimi tempi», capace di segnare «una nuova fase, in cui l'AI può trovare bug di sicurezza con un impatto su scala Internet». E ancora: «Per quanto ci risulta, l'AI di frontiera è riuscita a trovare questa vulnerabilità prima degli attaccanti, dando ai difensori il tempo di prepararsi».

Il quadro che emerge dalle altre fonti è più sfumato. Il contributo documentato di GPT-5.6 Sol riguarda una sola delle due falle, mentre Wiz le ha trovate entrambe in autonomia. Una delle fonti sottolinea che le informazioni disponibili non stabiliscono che le scoperte siano state autonome o prodotte esclusivamente dal modello di OpenAI, e ricorda che validazione e rilascio sono stati lavoro umano. Su daily.dev, nei 110 commenti, prevale lo scetticismo: molti accusano OpenAI di aver gonfiato il ruolo dell'AI e liquidano l'iniziativa come operazione di marketing. Secondo quanto riportato dai commentatori, e non verificato, un ricercatore indipendente avrebbe sostenuto che è stato usato un modello pubblico guidato da esperti, non una tecnologia speciale di OpenAI.

Fonti: daily.dev, blockchain.news