Black October: due falle critiche in 48 ore e come le abbiamo chiuse con il nostro sistemista AI

Scopri cosa è successo il 21 ottobre, quanto ci abbiamo messo ad aggiornare PHP e GitLab sui nostri server e che parte ha avuto il nostro assistente sistemista basato sull’intelligenza artificiale.

Il 21 ottobre il tuo sito era al sicuro? E se sì, chi te l’ha detto?

In quelle 48 ore sono uscite due falle critiche in due software che usiamo ogni giorno: PHP, su cui gira gran parte dei siti web, e GitLab, dove teniamo il codice dei progetti. Qui ti raccontiamo cosa è successo e cosa abbiamo fatto noi, ora per ora.

Cosa è successo il 21 ottobre

Le falle di PHP sono due, e chi le ha trovate le ha chiamate PHP2Shell: permettono a chiunque di far eseguire codice a un server, senza nessun accesso. PHP le ha valutate 9,2 su 10. Le versioni corrette sono uscite il 21 ottobre alle 15:50, ora italiana, dopo un preavviso dato la sera prima.

Le conseguenze si sono viste subito. Alcuni servizi di Wikipedia e diversi siti governativi in Olanda e in Finlandia sono stati messi offline per precauzione, e i primi tentativi di attacco sono arrivati nelle ore successive alla pubblicazione.

Lo stesso giorno GitLab ha pubblicato la correzione di una falla con il punteggio massimo, 10 su 10, insieme ad altre undici.

La falla l’ha trovata un ricercatore con l’AI, in una settimana

PHP2Shell l’ha scoperta la società di sicurezza Wiz, e il suo ricercatore ha lavorato con modelli di intelligenza artificiale. Secondo Wiz, il lavoro che prima richiedeva mesi a una squadra è stato fatto da una persona in una settimana.

Per noi questa è la notizia vera di ottobre. Se l’AI accorcia il tempo per trovare una falla, chi difende deve accorciare allo stesso modo il tempo per chiuderla. Aggiornare un server «appena possibile», nel giro di qualche settimana, oggi vuol dire lasciarlo aperto mentre qualcun altro ha già in mano gli strumenti per entrare.

Le nostre ore, una per una

Ecco come sono andate le cose sui nostri server:

• 21 ottobre, 15:50. PHP pubblica le versioni corrette.
• Pochi minuti dopo. Sui server con Plesk, il pannello che usiamo per l’hosting, PHP si aggiorna da solo: le nostre licenze includono gli aggiornamenti automatici, e li teniamo accesi.
• Circa due ore dopo. Il tempo di organizzare l’operazione internamente: sulle VPS, i server dedicati che gestiamo per i clienti, l’aggiornamento lo lanciamo noi con il nostro aggiornatore, preparato dall’assistente sistemista.
• 24 ottobre. Aggiorniamo GitLab alla versione che chiude tutte e dodici le falle con il salto più piccolo possibile. L’aggiornamento in sé dura 7 minuti e 43 secondi, e il servizio risponde 70 secondi dopo.

Su GitLab l’aggiornamento non parte da solo: la versione è bloccata, e la sblocchiamo noi dopo una copia della macchina e un backup completo, nel momento in cui decidiamo di fermare il servizio. Niente salti di versione a sorpresa, di notte. Questa volta sono serviti tre giorni.

Il nostro assistente sistemista: l’AI prepara, una persona decide

Chi si occupa dei nostri server lavora con un assistente sistemista fatto di agenti AI. Gli agenti entrano sui server in sola lettura, controllano versioni e spazio, scrivono l’analisi e preparano i comandi. Le azioni che cambiano qualcosa le approva o le esegue una persona.

A renderci veloci è il Company Brain, la base di conoscenza da cui l’assistente parte ogni volta. Dentro c’è l’intera nostra infrastruttura, server per server, con quello che ci gira sopra, le versioni di PHP, i siti che ospita e i loro proprietari. Così, quando è uscita PHP2Shell, non abbiamo dovuto entrare in tutti i server a controllare: l’assistente sapeva già dove c’era PHP, con quali versioni, e quali siti erano ancora su versioni vecchie. L’audit interno è stato chirurgico, e ha toccato solo le macchine che lo richiedevano.

L’aggiornatore è lo script che l’assistente prepara per ogni aggiornamento importante. A ogni passo controlla che lo spazio basti per i backup, che la versione giusta sia disponibile e che il database abbia finito il suo lavoro, e al primo dubbio si ferma. Intorno ci sono poche regole:

• ogni comando lascia traccia sulla macchina: cosa è stato lanciato, cosa ha risposto, a che ora;
• prima di cambiare qualcosa c’è sempre una copia a cui tornare;
• per ogni intervento si usa una chiave d’accesso dedicata, revocata a fine lavoro.

Il 24 ottobre l’aggiornamento di GitLab l’ha lanciato una persona diversa da quella che aveva scritto la procedura dieci giorni prima. La velocità sta nel metodo, quindi non dipende da chi è di turno.

Anche l’AI sbaglia, per questo lavora dentro delle regole

Proprio il 24 ottobre, alle 16:19, il primo tentativo si è fermato dicendo che la nuova versione di GitLab non era disponibile. Non era vero. L’errore stava nello script preparato dall’assistente: una riga segnalava un fallimento anche quando la ricerca andava a buon fine.

Lo script però era scritto per fermarsi al primo dubbio e rimettere tutto com’era. Nessuna modifica, nessun danno. Corretta la riga, il secondo tentativo è andato liscio due minuti dopo.

Un falso stop costa due minuti, un falso via libera può costare il server. Per questo il valore dell’AI, in un lavoro delicato, sta nelle regole che rendono innocuo l’errore: sola lettura per default, ogni comando registrato, script che si fermano da soli, una persona che approva.

Cosa chiedere a chi gestisce il tuo sito

Se hai un sito, un e-commerce o un gestionale online, queste sono le domande da fare oggi a chi te lo gestisce:

1. Il 21 ottobre avete aggiornato PHP sui miei server? A che ora?
2. Su che versione di PHP gira il mio sito? Per la 8.1 e le precedenti non è uscita nessuna versione corretta ufficiale, e l’unico rimedio completo è passare a una versione supportata.
3. Gli aggiornamenti di sicurezza arrivano da soli, o aspettano che qualcuno se ne ricordi?
4. Resta traccia di quello che viene fatto sui miei server, e da chi?

Non sai su che versione di PHP gira il tuo sito, o vuoi portare lo stesso metodo nella tua azienda, con l’AI che prepara e una persona che decide? Scrivici per una call gratuita: lo controlliamo insieme.

Per approfondire:

• Consulenza sull’intelligenza artificiale e automazione per aziende
• Hosting su misura di Hosting4Agency, dove gli aggiornamenti li seguiamo noi
• APA, Agentic Personal Assistant: il project management della tua azienda come ecosistema predittivo

di Alvise Nicoletti