PHP2Shell è grave, ma non è questo il punto

Edoardo Dusi è Senior Developer Advocate in AWS. Le opinioni espresse sono personali. Buongiorno da Edo, episodio 337. Questa settimana mezza internet si è spenta per PHP2Shell, due falle critiche nel cuore di PHP scoperte con l'aiuto dell'AI. La vulnerabilità è seria, ma non è questo il punto: parlo di come l'ha raccontata la stampa, di cosa è successo davvero a livello tecnico, dell'ondata di altre falle del "Black October" (eMudhra, Node2Shell, GitLab, kernel Linux), e del vero problema sotto, cioè una pipeline di responsible disclosure che non regge più il ritmo dell'AI. 00:00 Sigla e titoli dei giornali 02:07 La settimana in cui mezza internet si è spenta 09:15 Se PHP è il problema, allora reggetemi la birra 12:09 Il vero problema: la disclosure è rotta 18:10 Outro Fonti: Wiz Research – il deep dive tecnico: https://www.wiz.io/blog/php2shell-php... PHP Foundation – il security release e il "fallimento strutturale" del 2024: https://thephp.foundation/blog/2026/1... Amazon Threat Intelligence – l'attacco 4 giorni prima della disclosure: https://aws.amazon.com/blogs/security... The New Stack – la disputa Chainguard sull'embargo: https://thenewstack.io/php2shell-chai... The Atlantic – l'intervista a Ondřej Surý, il volontario dei pacchetti PHP: https://www.theatlantic.com/technolog... The Next Web – cronologia dell'embargo e video di Calif: https://thenextweb.com/news/php-found... The Hacker News – i tentativi di attacco: https://thehackernews.com/2026/10/php... The Hacker News – l'ente governativo colpito (Unit 42): https://thehackernews.com/2026/10/php... EFF – finanziare l'open source: https://www.eff.org/deeplinks/2026/10... Scott Helme – le chiavi di eMudhra uguali a 4: https://scotthelme.co.uk/eight-bits-o... The Hacker News – eMudhra esce dal business TLS: https://thehackernews.com/2026/10/emu... The Register – curl passa al pubblico per non annegare: https://www.theregister.com/security/... 404 Media – il "Black October": https://www.404media.co/php2shell-bla... CSO Online – Patch the Planet, il programma di OpenAI per i manutentori: https://www.csoonline.com/article/418... ACN – l'alert del CSIRT Italia su PHP2Shell: https://www.acn.gov.it/portale/en/w/p... La mia app: https://play.google.com/store/apps/de... Sigla del podcast: Pink Soul by JMHBM (https://freemusicarchive.org/music/be...) — licenza Attribution 4.0 International License (https://creativecommons.org/licenses/.... #php #sicurezza #ai #disclosure #php2shell