Il progetto OpenSSL ha pubblicato nuove release che correggono 18 vulnerabilità, un numero insolitamente alto per la libreria crittografica che protegge gran parte del traffico cifrato di Internet. Il dato più interessante non è però la quantità, ma la provenienza: molte delle falle sono state individuate con strumenti di ricerca assistita dall'intelligenza artificiale, confermando una tendenza iniziata a gennaio, quando un team aveva annunciato dodici zero-day in OpenSSL scoperti interamente da sistemi AI, incluso un bug rimasto nascosto per quasi trent'anni.
La falla principale
La vulnerabilità più seria del lotto è CVE-2026-45447, di gravità alta: uno heap use-after-free nella funzione PKCS7_verify(), usata per verificare le firme dei messaggi PKCS#7 e S/MIME. Quando un messaggio firmato presenta il campo digestAlgorithms come insieme ASN.1 vuoto, OpenSSL può liberare per errore un buffer che appartiene all'applicazione chiamante; l'uso successivo di quel buffer produce una corruzione della memoria heap. Le conseguenze vanno dal crash del processo fino alla possibile esecuzione di codice remoto, e l'attacco richiede soltanto di far elaborare alla vittima un messaggio firmato appositamente costruito.
Sono interessate le applicazioni che elaborano messaggi PKCS#7 o S/MIME tramite le API PKCS#7 di OpenSSL — ad esempio client e gateway di posta che verificano firme S/MIME — mentre chi usa le più moderne API CMS non è coinvolto. La scoperta è frutto di una collaborazione tra un ricercatore e strumenti AI di Anthropic.
Il rovescio della medaglia
L'AI sta accelerando la scoperta dei bug, ma la stessa tecnologia funziona anche nell'altra direzione: i ricercatori avvertono che modelli linguistici privi di salvaguardie sono ormai in grado di costruire exploit funzionanti partendo dall'analisi delle patch. Questo restringe la finestra utile tra la pubblicazione di una correzione e i primi tentativi di sfruttamento, il cosiddetto patch gap. Per una libreria onnipresente come OpenSSL — integrata in sistemi operativi, server web, dispositivi embedded e appliance di rete — il consiglio è verificare quali prodotti in uso incorporano le versioni vulnerabili e applicare gli aggiornamenti dei rispettivi vendor man mano che vengono distribuiti.
