Smettetela di cliccare compulsivamente su ‘Refresh’ su Twitter, la fine del mondo digitale non è arrivata oggi.
Negli ultimi giorni, l’ecosistema tech è esploso. Qualcuno ha annunciato una vulnerabilità PHP così catastrofica da far sembrare Log4Shell una passeggiata nel parco. Il panico si è propagato come un virus in un cluster non patchato, alimentato da video con estetica anime e tweet apocalittici. Ma se respirate un attimo e smettete di fidarvi ciecamente di quello che vi dice l’ultimo modello di Claude o GPT, vi accorgerete che la situazione è molto più… tranquilla. O meglio, molto più stupida.
Il punto non è che PHP sia sicuro (sappiamo tutti che è un campo minato), ma che stiamo assistendo a un fenomeno nuovo e inquietante: l’era delle allucinazioni hacker. Se andate a spulciare GitHub in questo momento, troverete migliaia di PoC (Proof of Concept) che promettono il controllo totale del server. Provareli, però, è un’impresa inutile. La maggior parte di questi script non funziona su una normale istanza di PHP. Perché? Perché sono stati generati da un’IA che, cercando di essere utile, ha deciso di inventarsi una vulnerabilità che non esiste.
È un po’ come se chiedessi a un compagno di classe che non ha mai aperto un libro di fisica di spiegarti la relatività: ti darà una risposta convincente, userà termini tecnici complicatissimi e ti farà sentire un idiota, ma alla fine il risultato è pura fantascienza. Questi ‘exploit’ funzionano solo se il server ha già una vulnerabilità preesistente, tipo un LFI (Local File Inclusion) che permette di leggere file arbitrari. In pratica, l’IA sta dicendo: «Guarda, riesco a hackerare il server!», ma l’unico motivo per cui ci riesce è perché ha modificato il server per renderlo vulnerabile durante il test. Un vero capolavoro di truffa involontaria.
Questa cosa è surreale. Siamo passati dal dover scrivere exploit complessi con le nostre mani, come facevamo con Shellshock o Heartbleed, al delegare il lavoro a modelli linguistici che non comprendono la differenza tra un chain di vulnerabilità reale e una sognata durante la notte. Stiamo creando dei ‘punti di Schelling’ decisionali dove l’errore logico è identico ovunque, semplicemente perché tutti usano lo stesso motore di inferenza per prendere decisioni tecniche.
Quindi, per chi si occupa di sysadmin o dev in Italia (o ovunque il codice venga compilato): non correte a patchare tutto con la frenesia di chi sta vedendo l’ultimo server di Star Wars esplodere. La vulnerabilità esiste, è importante, ma non è il ‘momento Log4J’ che tutti temevano. Per ora, l’unico vero rischio è che la nostra capacità di giudizio critico venga sostituita da un prompt ben scritto. E questo, amici miei, è decisamente più preoccupante.
Source: There isn't an easy exploit for this PHP vulnerability