La fondazione PHP con un solo dipendente e la caccia ai bug alla velocità dell'AI mentre OpenAI alza i premi

Aggiornamenti d'emergenza, e un nome

Un team che ha usato i modelli di AI di OpenAI ha trovato due falle critiche in PHP. Le versioni corrette sono arrivate poco dopo l'avviso. Secondo Cloudflare, l'impatto riguarda i server web che eseguono PHP 5.4 e versioni successive.

Chi gestisce un sito oggi prende la decisione da solo. Le correzioni esistono, ma nessuna autorità impone di installarle. Regolatori e clienti hanno così un esempio concreto di quanto costa mantenere un codice condiviso. Un linguaggio usato da circa il 69% dei siti con un linguaggio lato server noto è tenuto in piedi da un solo dipendente stipendiato e da circa 14 collaboratori part-time. È questo il confronto da tenere presente. Nessuno ha pubblicato quanti sistemi siano ancora senza patch.

Un comunicato datato 3 novembre diceva che i governi avevano avvertito gli amministratori di procedere con aggiornamenti d'emergenza, e raccoglieva le falle sotto il nome PHP2Shell. Il comunicato è stato diffuso tramite TrillionDollarClub, una piattaforma di comunicazione del Dynamic Brand Portfolio di IBN. Un nome viaggia più in fretta di una patch. L'etichetta è arrivata con il comunicato, dopo le correzioni.

In alcuni casi i siti governativi sono stati costretti a sospendere le attività, e i ritardi nell'applicare gli aggiornamenti venivano ancora segnalati dopo la distribuzione delle correzioni. Applicarle resta una scelta dei singoli proprietari dei siti.

Milioni di tentativi in un giorno

Matthew Prince, amministratore delegato di Cloudflare, ha scritto su X che nelle 24 ore successive alla divulgazione sono stati osservati milioni di tentativi di attacco, e migliaia già prima. La divisione cyber dell'FBI ha avvertito su X che le falle potrebbero consentire l'esecuzione di codice da remoto nel core di PHP, mettendo a rischio dati sensibili e reti.

I provider di hosting si sono mossi a velocità diverse. Cloudflare ha aggiunto regole del web application firewall per rilevare e bloccare gli attacchi. GoDaddy ha aggiornato l'hosting gestito e quello Windows, quindi quei clienti non devono fare altro. Ai siti autogestiti e agli operatori di VPS è stato detto di aggiornare da soli. Cloudflare ha anche aperto una capture-the-flag su HackerOne, invitando i ricercatori ad attaccare un ambiente PHP volutamente vulnerabile dietro il proprio firewall, con premi da 100 a 10.000 dollari.

Migliaia di tentativi prima della divulgazione. Milioni entro un giorno.

La fondazione con un solo dipendente

Elizabeth Barron, direttrice esecutiva della PHP Foundation, ha detto di essere l'unica dipendente a tempo pieno dell'organizzazione. Lavora con circa 14 collaboratori part-time e con membri del consiglio non retribuiti.

W3Techs stima che PHP sia usato da circa il 69% dei siti di cui si conosce il linguaggio lato server. La richiesta di correzioni al codice è raddoppiata, ha detto Barron, ma "il numero dei collaboratori non è raddoppiato". Ha aggiunto che "è chiaro che i finanziamenti per sostenere PHP mancano gravemente". Aziende e governi che dipendono dal linguaggio non hanno cambiato le loro strutture, secondo il suo racconto, mentre la coda davanti al suo team cresceva.

Un dipendente stipendiato. Circa 14 collaboratori. Quasi sette siti su dieci.

I tentativi di attacco sono aumentati bruscamente dopo la divulgazione, e la capacità della fondazione non è cresciuta con loro.

Perché l'AI cambia i conti

Il comunicato PHP2Shell sostiene che l'AI può trovare e sfruttare debolezze del software a una velocità che chi difende fatica a tenere. Poiché PHP è disponibile gratuitamente e molto diffuso, un solo insieme di falle si propaga su milioni di siti, piccole imprese e servizi pubblici che non hanno team di sicurezza dedicati.

I numeri del bounty di OpenAI dicono la stessa cosa dall'altro lato. L'azienda ora paga fino a 30.000 dollari per una vulnerabilità critica nei prodotti principali come ChatGPT o Codex. I casi eccezionali possono arrivare a 100.000 dollari, e i bonus per qualità, fedeltà e campagne portano il totale a circa 172.000 dollari. Ha quadruplicato i pagamenti, introdotto un programma fedeltà a cinque livelli e pagherà la differenza in retroattivo a chi ha segnalato nei 30 giorni precedenti. Questo mette OpenAI sullo stesso piano del programma generale di ricompense per vulnerabilità di Google, anche se resta sotto i premi di fascia alta che Apple o Microsoft offrono per exploit a livello di sistema operativo. Poi arriva uno sprint di sicurezza con la società Cathedral; durante l'ultimo, il 25% degli ingegneri di prodotto di OpenAI ha lavorato a trovare vulnerabilità, secondo l'azienda.

Mettete i due budget uno accanto all'altro. Una falla critica di OpenAI può valere circa 172.000 dollari. Il primo premio della capture-the-flag PHP di Cloudflare è di 10.000 dollari.

Cosa succede adesso

Un sondaggio su 121 proprietari di piccole imprese statunitensi con un sito proprio, condotto da Network Solutions, ha rilevato che il 45% non aveva mai sentito parlare di PHP.

Così le correzioni restano in una coda che non appartiene a nessuno. L'applicazione delle patch resta una decisione sito per sito, senza un obbligo centrale. I rimedi sul tavolo sono noti: aggiornamenti più rapidi, più soldi per chi mantiene il codice, divulgazione migliore. Nessuno di questi ha un meccanismo che lo imponga. Il divario tra ciò che l'AI riesce a trovare e ciò che una fondazione con un solo dipendente riesce a correggere è ormai la condizione operativa per una larga parte del web.

Barron chiede soldi, non un nuovo regolatore. Se chi finanzia ascolterà è la domanda aperta, e il sondaggio qui sopra suggerisce che molti proprietari di siti non se ne accorgerebbero comunque.