PHP accusa Chainguard di aver compromesso la divulgazione di PHP2shell
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Due vulnerabilità critiche trovate con modelli AI sono state corrette con patch d'emergenza, ma gli sviluppatori PHP imputano a Chainguard la gestione disordinata della divulgazione.
Alle 15:00 UTC di martedì sono comparsi gli identificativi CVE-2026-109618 e CVE-2026-109619 con dettagli errati. I maintainer di PHP accusano Chainguard di aver interrotto la divulgazione coordinata delle due falle, ribattezzate PHP2shell1.
Poche ore dopo, il progetto ha rilasciato patch d’emergenza. Poi ha pubblicato un post tecnico che ricostruisce scoperta e correzioni e accredita i ricercatori di Calif, OpenAI e Wiz. Le tre aziende affermano di aver usato modelli di intelligenza artificiale nella fase di ricerca, con attività tra agosto e settembre1.
I due CVE permettono esecuzione di codice da remoto senza autenticazione su server che eseguono PHP. L’impatto è ampio, perché PHP alimenta una quota significativa del web pubblico1.
Secondo i maintainer, la fuga di martedì ha rotto la finestra di disclosure. La circolazione anticipata degli identificativi, con informazioni non corrette, ha spinto al rilascio immediato delle patch. Nel post parlano di “fuga e divulgazione interrotta” e indicano Chainguard come causa del disallineamento tra patch e comunicazione pubblica1.
Nel racconto degli sviluppatori, la sequenza è compatta: scoperta tra agosto e settembre da Calif, OpenAI e Wiz, sviluppo delle correzioni, patch d’emergenza, quindi resoconto pubblico su scoperta e fix. PHP2shell è l’etichetta per il pacchetto delle due vulnerabilità corrette con urgenza1.
I maintainer contestano a Chainguard un ruolo diretto nella rottura della disclosure. La critica pesa perché l’azienda si presenta come attore della sicurezza della supply chain e del rafforzamento dell’open source. Qui sostengono che proprio quell’attività abbia prodotto una fuga prima della finestra concordata1.
La fonte non riporta commenti o repliche di Chainguard. Non emergono dettagli ulteriori sulle modalità della presunta fuga, oltre al riferimento all’orario d’inizio e alla circolazione degli identificativi con dati errati1.
Il caso tocca un punto operativo per chi gestisce vulnerabilità critiche: se identificativi CVE e frammenti tecnici filtrano prima del previsto, la corsa alle patch può precedere spiegazioni chiare. Con una base installata così ampia, PHP rischia ondate di aggiornamenti affrettati e confusione nelle priorità di mitigazione1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 9/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 7,9/10 dopo 2 revisioni.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.