Il 23 ottobre 2026 Forbes ha riferito che GPT-5.6 Sol ha aiutato i ricercatori di Patch the Planet a individuare vulnerabilità in PHP. Il progetto PHP aveva annunciato il 21 ottobre PHP 8.5.12, che corregge CVE-2026-109618 e CVE-2026-109619. AWS aveva osservato un tentativo legato a PHP2Shell il 17 ottobre, prima della divulgazione pubblica: l’azienda non ha stabilito se l’attività sia riuscita su sistemi reali.
Secondo Forbes, OpenAI e i collaboratori hanno impiegato più di due mesi per convalidare i risultati e le correzioni prima di renderli pubblici. Il contributo dell’IA alla ricerca si è quindi affiancato al lavoro di verifica e riparazione.
Che cosa consentono Daybreak Blue e Red
OpenAI descrive Daybreak come un programma per attività di cybersicurezza autorizzate. Il livello Blue riduce i rifiuti su alcuni modelli generalisti per il lavoro difensivo verificato; non dà accesso ai modelli specializzati in cybersicurezza. Con Astra restano attive le protezioni standard.
| Livello | Modelli e protezioni | Approvazione e uso |
| Blue | Meno rifiuti su modelli generalisti supportati; Astra mantiene le protezioni standard. Nessun modello specializzato in cybersicurezza. | Lavoro difensivo verificato su sistemi autorizzati. |
| Red | Accesso a determinati modelli per la cybersicurezza e meno rifiuti su alcuni modelli supportati. | Approvazione separata e verifiche più rigorose; alcuni modelli richiedono un’ulteriore approvazione. |
Per entrambi i livelli, OpenAI limita l’attività ai sistemi posseduti o gestiti dall’utente, oppure a quelli per cui ha un’autorizzazione esplicita a eseguire test o analisi. Le regole escludono l’uso per clienti esterni e per flussi di lavoro di terze parti. Le condizioni ufficiali di Daybreak distinguono quindi la riduzione dei rifiuti da un accesso senza limiti.
PHP 8.5.12 corregge le due vulnerabilità indicate
L’avviso del progetto PHP identifica PHP 8.5.12 come versione correttiva per CVE-2026-109618 e CVE-2026-109619. Le due vulnerabilità possono consentire l’esecuzione di codice da remoto senza autenticazione. Il progetto raccomanda a tutti gli utenti di PHP 8.5 di aggiornare e considera l’aggiornamento l’unica scelta sicura. L’avviso di rilascio di PHP è il riferimento per queste due CVE. Per il quadro delle release trattate nella copertura precedente, consulta anche l’articolo di NeoTeo sulle versioni PHP correttive.
Che cosa ha osservato AWS prima della divulgazione
AWS ha datato al 17 ottobre 2026 un tentativo di sfruttamento di PHP2Shell rilevato nella telemetria di MadPot. La divulgazione pubblica è avvenuta il 21 ottobre alle 14:00 UTC. AWS ha riferito che non era chiaro né come l’attore avesse ottenuto le informazioni sulla vulnerabilità né se i tentativi osservati avrebbero avuto successo su sistemi reali.
Perché la correzione richiede ancora lavoro umano
Forbes ha riferito che 1.316 dei 1.995 bug individuati da Patch the Planet erano ancora in attesa di una patch. Ha inoltre riportato i risultati di un audit di 130 patch scritte dall’IA e distribuite: 16 avevano causato problemi funzionali e una un problema di prestazioni.
Forbes ha riferito anche che una scansione interna di sicurezza di OpenAI con Astra aveva individuato più di 50 problemi nel primo giorno. Dan Guido, CEO di Trail of Bits, ha osservato che non si può ancora chiedere semplicemente all’IA di correggere un software: la verifica e la revisione delle patch restano parte del lavoro.
