Un’importante vulnerabilità è stata scoperta nel linguaggio di programmazione PHP, uno dei più diffusi nel mondo per lo sviluppo di applicazioni web, utilizzato da una grande parte dei siti mondiali. La notizia è stata riportata inizialmente da Forbes, che ha diffuso informazioni su una falla identificata da ricercatori della startup Calif.io, utilizzando il modello GPT-5.6 Sol di OpenAI, noto anche come Sol. La scoperta, secondo le informazioni disponibili, risalirebbe ad agosto ed è stata comunicata agli sviluppatori di PHP, che hanno formato un gruppo di lavoro con Calif.io, OpenAI, Google e altri per sviluppare una soluzione.
La vulnerabilità potrebbe mettere a rischio fino al 70% dei siti web globali se non vengono applicati aggiornamenti di sicurezza tempestivi. Durante le verifiche, gli esperti di Wiz, divisione di sicurezza informatica di Google, avrebbero trovato ulteriori vulnerabilità collegate. Queste consentirebbero attacchi di Remote Code Execution, permettendo a un aggressore di eseguire codice a distanza su server compromessi. La falla è stata definita "una delle più gravi mai scoperte dall'AI" e "tra le più gravi nella storia del software".
PHP è alla base di molte piattaforme web, tra cui WordPress, Drupal, Joomla e Magento. La falla potrebbe essere rimasta inosservata per decenni, con alcune fonti che indicano un periodo superiore ai dieci anni. La scoperta rientra nel programma "Patch the Planet", che utilizza modelli AI per identificare vulnerabilità nel software. Volker Dusch, ingegnere della sicurezza presso la fondazione PHP, ha descritto la vulnerabilità come "il problema di sicurezza più grave affrontato da PHP da oltre un decennio", paragonandola a Heartbleed.
Gli sviluppatori di PHP avevano inizialmente previsto di rendere pubblici i dettagli della vulnerabilità, ma la fuga di informazioni ha accelerato la corsa agli aggiornamenti. La scoperta evidenzia come gli strumenti di intelligenza artificiale possano velocizzare sia l'individuazione delle vulnerabilità che la loro sfruttabilità da parte degli hacker.