// PUNTO INFORMATICO — INTELLIGENZA ARTIFICIALE
PHP rilascia patch per le vulnerabilità scoperte da GPT-5.6 Sol
Il PHP Group ha rilasciato le patch per le due gravi vulnerabilità, denominate PHP2Shell, che permettono l’esecuzione di codice remoto senza autenticazione. Gli utenti devono quindi installare immediatamente le ultime versioni del popolare linguaggio di programmazione. OpenAI ha svelato che le vulnerabilità sono state trovate con l’aiuto del modello GPT-5.6 Sol.
Le due vulnerabilità, identificate con CVE-2026-109618 e CVE-2026-109619, sono state scoperte all’inizio di agosto dai ricercatori di Calif. I cybercriminali potrebbero eseguire codice arbitrario sui server senza autenticazione. Le conseguenze sarebbero disastrose, in quanto PHP viene utilizzato da oltre il 70% dei siti mondiali, inclusi quelli basati su noti CMS (WordPress, Drupal, Joomla).
Per l’analisi del problema di sicurezza e la successiva risoluzione c’è stata una stretta collaborazione tra diverse aziende e organizzazioni, tra cui PHP Foundation, Calif, OpenAI, Wiz e Cloudflare. Calif e PHP Foundation partecipano all’iniziativa Patch the Planet di OpenAI.
L’azienda californiana spiega che Calif ha scoperto le vulnerabilità con l’aiuto del modello GPT-5.6 Sol. PHP Foundation sottolinea che le patch dovevano essere rilasciate il 22 ottobre, ma Chainguard non ha rispettato l’embargo, quindi la distribuzione è stata anticipata ad oggi.
Le due vulnerabilità sono presenti a partire da PHP 5.4, ma le versioni precedenti alla 8.1 non ricevono più aggiornamenti. Le patch sono stati incluse in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli utenti e gli amministratori IT devono pertanto installare con urgenza le ultime versioni.
Essendo un software libero, i più esperti possono eventualmente modificare il codice delle vecchie versioni. Considerata la gravità delle vulnerabilità, il team di sicurezza di PHP ha reso disponibili dei backport minimi del codice sorgente per PHP 7.4, 8.0 e 8.1.
Come detto, il linguaggio viene utilizzato dal 70% dei siti mondiali. Non tutti installeranno gli aggiornamenti in tempi rapidi, quindi è quasi certo che ci saranno attacchi informatici che sfruttano le vulnerabilità. Come riporta Reuters, alcuni governi, ospedali e scuole in Europa hanno seguito il consiglio del CERT-EU. Non potendo applicare subito le patch hanno deciso di “spegnere” temporaneamente i siti web.