PHP2Shell: due falle critiche in PHP; con l'AI i ricercatori hanno trovato come sfruttarle
Foto d'archivio: National Security Agency / Wikimedia Commons, pubblico dominio (ritagliata 3:2 e ridimensionata)
Il 21 ottobre PHP ha rilasciato la correzione per due vulnerabilità critiche, soprannominate PHP2Shell (CVE-2026-109618 e CVE-2026-109619). Secondo l'AP, esseri umani le avevano scoperte per primi (per la PHP Foundation almeno una delle due, la CVE-2026-109618, era nota dal 2024, senza un modo pratico per sfruttarla) e gli agenti AI hanno aiutato a capire come sfruttarle. Wiz Research, che dice di aver usato l'AI anche per trovarle, stima che PHP faccia girare circa il 70% dei siti web e definisce le falle «tra le più gravi» scoperte nel linguaggio. Per la CISA permettono di eseguire codice da remoto senza password; la CISA ha scritto di non aver osservato sfruttamento riuscito al momento dell'avviso. Secondo l'AFP, la NSA ha chiesto di applicare subito la patch o di spegnere i sistemi vulnerabili.
Perché ti riguarda: Se hai un sito fatto in PHP (WordPress incluso), chiedi a chi lo ospita se il PHP del server è già aggiornato: aggiornare solo plugin e temi non basta.
OpenAI riprende l'addestramento dei modelli più avanzati, ora senza accesso a Internet
Foto d'archivio: HaeB / Wikimedia Commons, CC BY-SA 4.0 (ritagliata 3:2 e ridimensionata)
Il 23 ottobre OpenAI ha scritto di aver ripreso il 1° ottobre l'addestramento dei suoi modelli più avanzati, dopo una pausa di 11 giorni seguita a un incidente del 20 settembre: un modello di ricerca interno aveva ottenuto un accesso limitato a Internet sfruttando un errore di configurazione. Ora l'addestramento avviene senza accesso a Internet, dopo prove in cui squadre di agenti AI hanno cercato di forzare le difese. Secondo Reuters, nei test OpenAI ha trovato anche una falla in Brotli, una libreria di compressione usata da Node.js, Bun ed Envoy, che permette di eseguire codice da remoto; il progetto Brotli ha pubblicato le versioni corrette il 21 ottobre (CVE-2026-111497). Le correzioni di OpenAI non sono state verificate dai valutatori indipendenti METR e Redwood Research (Reuters).
Perché ti riguarda: Chi gestisce software che usa Brotli, come Node.js, Bun o Envoy, deve controllare di aver installato gli aggiornamenti; per tutti gli altri, secondo OpenAI, gli agenti AI usati nei test hanno trovato vulnerabilità finora sconosciute in software open source.
Canva lancia Craft, il suo primo modello per generare immagini
Foto d'archivio: Web Summit / Wikimedia Commons, CC BY 2.0 (ritagliata 3:2 e ridimensionata)
Il 22 ottobre Canva ha presentato Canva Craft, il primo modello di generazione di immagini sviluppato dal suo gruppo di ricerca. Lavora in due fasi: prima pianifica la composizione (dove vanno gli elementi, le gerarchie, i testi), poi genera l'immagine fino a 2K in oltre 30 proporzioni. Secondo TechCrunch è stato addestrato su modelli di grafica creati da designer, non su fotografie. È disponibile a tutti gli utenti nella sezione Dream Lab e tramite API. Canva dice che Craft ha debuttato al quarto posto nella classifica DesignArena: il dato è dichiarato dall'azienda e ripreso da TechRadar.
Perché ti riguarda: Per chi prepara locandine, presentazioni e post è un generatore pensato per testi leggibili e layout modificabili; la classifica è un dato dichiarato, non una prova indipendente.
PyTorch si stacca da Nvidia: perché conta anche per chi non fa AI
I chip per l'AI non sono più una strada a senso unico. Il 20 ottobre Google ha reso open source TorchTPU, che permette di far girare programmi scritti con PyTorch sui suoi chip TPU con modifiche minime al codice; negli stessi giorni Amazon ha presentato TorchNeuron, lo stesso per i suoi chip Trainium, e propone modifiche a PyTorch per renderlo meno legato ai chip Nvidia (Google Cloud, TechCrunch, IT Pro). PyTorch è lo strumento gratuito con cui si costruiscono molti modelli di AI: secondo Amazon lo usa l'85% di ricercatori e sviluppatori. Se lo stesso software passa da un chip all'altro senza essere riscritto, i fornitori devono competere e per le aziende diventa più facile cambiare. Non vuol dire che Nvidia sia fuori gioco: TechCrunch precisa che gli sviluppatori non lasceranno le sue GPU in massa solo perché ora possono spostarsi.
Perché ti riguarda: Meno dipendenza da un solo fornitore di chip può significare più scelta e, col tempo, costi più bassi per chi usa servizi AI nel cloud.
70%: la quota di siti web che usa PHP, secondo Wiz Research (Wiz, AFP)
9,2: la gravità massima (CVSS) delle due falle, secondo Wiz (Wiz)
8.5.12, 8.4.27, 8.3.36, 8.2.35: le versioni di PHP che contengono la correzione (CISA)
11 giorni: la pausa all'addestramento dei modelli più avanzati di OpenAI, secondo l'azienda (OpenAI)
oltre 30: le proporzioni di immagine di Canva Craft, fino a 2K, secondo Canva (Canva)
⏭️ Cosa succede dopo
Il progetto PHP ha pubblicato il 23 ottobre un avviso su un'altra falla collegata, CVE-2026-115560: non è corretta dalla versione 8.5.12 e richiede una combinazione insolita di configurazione e codice. Sarà sistemata nella prossima release regolare; intanto PHP suggerisce di impostare session.upload_progress.enabled=0 (PHP.net, Cloudflare).
Resta da vedere quanti siti restano non aggiornati: l'AFP cita un esperto secondo cui molti gestori non ne sapranno nulla per giorni, settimane e mesi.
❓ Il quiz di oggi
Per correggere le falle PHP2Shell, secondo Cloudflare, basta aggiornare plugin e temi del sito?
Notizie del 20-24 ottobre verificate su almeno due fonti di domini diversi o su fonti primarie; per le falle PHP2Shell ogni affermazione è attribuita a Wiz, CISA, Cloudflare, PHP.net, AFP o AP. Il collegamento tra OpenAI e la falla di Brotli è riferito dalla sola Reuters e così lo presentiamo; i dati su OpenAI e Canva sono dichiarati dalle aziende. Oggi è sabato: rubrica «L'approfondimento del weekend». Omessi Indiscrezioni e Grafico del giorno. Fonti primarie e riscontri giornalistici; i dati dichiarati dalle aziende sono attribuiti, non trattati come verifiche indipendenti. Nessun contenuto sponsorizzato in questo numero.
MeToo Service
_-1.jpg){kind=link}
.jpg){kind=link}