Un paio di falle critiche in PHP, il linguaggio di programmazione che gestisce un stimato 70% dei siti web, hanno innescato questa settimana una corsa globale alle patch dopo che i ricercatori hanno dimostrato che i bug potrebbero consegnare agli attaccanti il controllo dei server senza password.
Le falle sono state trovate usando modelli OpenAI, in collaborazione con le società di sicurezza Wiz e Calif. Il gruppo ha soprannominato l'insieme di bug PHP2Shell. Una delle falle era rimasta nel linguaggio per 14 anni.
Cosa consente la falla
Gli attaccanti potrebbero prendere il controllo dei server web colpiti senza autenticazione e leggere la memoria che potrebbe contenere password e dati di sessione. Poiché PHP è alla base di WordPress, Drupal e una lunga lista di siti personalizzati, l'esposizione raggiunge ospedali, rivenditori e portali governativi, non solo le aziende tecnologiche.
Wiz ha paragonato la gravità a Heartbleed, il bug di crittografia del 2014 che espose dati in gran parte del web. I ricercatori hanno detto che la falla è abbastanza complessa da trovarsi al limite di ciò che gli analisti umani potrebbero sfruttare, e facile per un agente IA che può eseguire da solo le fasi dell'attacco.
Chi ha detto alle organizzazioni di agire
La National Security Agency statunitense e l'agenzia per la cybersicurezza dell'Unione europea hanno consigliato di applicare subito le patch. Entrambe hanno detto che i sistemi che non possono essere aggiornati rapidamente dovrebbero essere messi offline. Alcuni siti governativi europei hanno fatto esattamente questo, e parti dei loro servizi pubblici sono rimaste oscurate per un giorno.
Il direttore tecnico di Cloudflare, Dane Knecht, ha detto che l'azienda ha visto tentativi di attacco precoci prima che la patch diventasse pubblica. OpenAI ha rilasciato uno strumento che gli amministratori possono eseguire per verificare se un'installazione è esposta.
Perché la divulgazione è stata affrettata
I dettagli sono trapelati online questa settimana, costringendo i manutentori di PHP a pubblicare l'avviso e l'aggiornamento prima del previsto. Questo ha ridotto la distanza tra avvertimento e sfruttamento, che è la distanza su cui i difensori fanno più affidamento.
L'episodio taglia in due direzioni. L'IA ha trovato un bug che anni di revisione umana avevano mancato, e la stessa capacità può aiutare gli attaccanti a scrivere exploit più velocemente. I team di sicurezza ora affrontano un semplice test: applicare la patch o disconnettersi.