SAN FRANCISCO — Chi sapeva, e da quando? La telemetria di Amazon ha registrato il primo tentativo di sfruttare le due falle del linguaggio Php il 17 ottobre, quattro giorni prima che la loro esistenza fosse resa pubblica, e Cloudflare ha contato migliaia di attacchi nelle dieci ore precedenti l’annuncio. A tre giorni dalla patch d’emergenza è la domanda che pesa più delle altre su quello che Axios ha già battezzato «Black October».Il fatto è questo: due vulnerabilità critiche, chiamate «php2shell», permettono di eseguire codice da remoto senza password su un server Php, dalla versione 5.4 alla 8.5. Il Php regge circa il 70% dei siti di cui si conosce il linguaggio, da Wikipedia a WordPress. La PHP Foundation ha pubblicato le correzioni mercoledì 21 ottobre; nelle stesse ore, riferisce Reuters, siti di governi in Europa e altrove sono finiti offline e le agenzie di Europa, Australia, Giappone e Regno Unito hanno chiesto di aggiornare subito o spegnere. Paesi Bassi e Finlandia hanno staccato portali pubblici, decine di siti si sono spenti negli Stati Uniti e nel Regno Unito.La cronologia del 21 ottobre alimenta i sospetti. L’avviso tecnico è comparso su GitHub alle 13.34 Utc (le 15.34 in Italia), 26 minuti prima dell’orario annunciato. Nei 45 minuti successivi Cloudflare ha visto decine di migliaia di tentativi, centinaia di migliaia entro due ore, poi milioni; le trappole digitali di watchTowr li registravano in giornata e Amazon Web Services scriveva che la falla era «ampiamente sfruttata». Fortune parla apertamente di una fuga di notizie prima della divulgazione ufficiale. La PHP Foundation non ha risposto sul punto.Quanti server restano scoperti? Secondo Censys, società che censisce i dispositivi esposti su internet, 1,5 milioni dei 2,6 milioni di host analizzati girano ancora su versioni senza correzione. Per le versioni precedenti alla 8, dichiarate a fine vita, non esiste alcun rimedio. La Fondazione avverte che le mitigazioni temporanee non sono complete e che aggiornare è «l’unica scelta sicura».La scoperta delle macchineL’intelligenza artificiale ha davvero battuto gli aggressori sul tempo? Le falle le hanno trovate due gruppi, ciascuno con modelli di Ai: Calif, società di sicurezza offensiva che lavora nell’iniziativa «Patch the Planet» di OpenAI, il 1° agosto; Wiz, del gruppo Alphabet, il 19 agosto. Le segnalazioni a Php sono partite tra l’11 e il 24 agosto. OpenAI la definisce «una delle vulnerabilità più impattanti a memoria recente» e scrive: «Per quanto ne sappiamo, l’Ai di frontiera le ha trovate prima degli aggressori». Wiz le colloca «tra le più gravi mai scoperte in Php, e forse nella storia del software». Il bug però era nel codice da oltre dieci anni e tra la scoperta e la patch sono passati due mesi e mezzo: la partita, adesso, si gioca tra la velocità di chi aggiorna e quella di chi scansiona la rete.Che cosa dicono le autorità? Poco, per ora. C’è un’allerta della National Security Agency americana e dell’agenzia europea per la cybersicurezza, ma né la Nsa né la Cisa, l’agenzia Usa per la protezione delle infrastrutture, hanno diffuso una dichiarazione formale. Parlano gli ex. Ciaran Martin, fondatore del centro britannico per la cybersicurezza e oggi professore a Oxford: «Per evitare ogni dubbio: php2shell è molto, molto grave e richiede attenzione urgente». Chris Krebs, ex direttore della Cisa, ha consigliato alla Cnbc alle piccole imprese di scansionare «costantemente» i sistemi, applicare le patch o spegnere quelli vecchi.E poi? Sam Rubin di Palo Alto Networks: php2shell «di certo non sarà l’ultima». Jason Clinton, vice responsabile della sicurezza di Anthropic, il giorno dopo la patch: le cose «peggioreranno molto prima di migliorare». Axios colloca il caso in una serie che va dalle fughe di dati nelle scuole pubbliche alle banche che trovano «agenti» non autorizzati nei conti dei clienti, ma annota che molte organizzazioni hanno tamponato senza danni rilevanti e invita a non farsi prendere dal panico.Il Cert-Eu, squadra d’emergenza delle istituzioni europee, ricorda che falle di questo tipo aprono spesso la strada diretta ai file o al database del server. Le regole temporanee del firewall di Cloudflare restano in vigore.