L’IA ha scoperto una falla vecchia quasi 30 anni e che nessuno aveva ancora notato

A volte il codice informatico nasconde segreti che sfuggono allo sguardo umano per decenni. È esattamente ciò che è accaduto con Squid, uno dei proxy di caching open source più diffusi al mondo.

Una vulnerabilità critica, rimasta silente dalla fine degli anni ’90, ha esposto per ben 29 anni le richieste HTTP in chiaro degli utenti, permettendo la potenziale fuoriuscita di dati estremamente sensibili come password e token di sessione.

A interrompere questa lunghissima catena di insicurezza è intervenuto un ricercatore, supportato dall’intelligenza artificiale di Anthropic, Mythos Preview, che ha individuato l’anomalia e ha permesso agli sviluppatori di correre ai ripari.

Mythos trova quello che agli umani è sfuggito per quasi 30 anni

Tutto ha avuto inizio in uno scenario insolito: durante un normale volo di linea. Il ricercatore Lam Jun Rong, specialista dell’azienda di sicurezza Calif.io, stava cercando di connettersi alla rete aerea quando si è imbattuto in un’installazione di Squid (un software ampiamente adottato da enormi corporazioni, istituti scolastici e fornitori di servizi internet per filtrare, monitorare e memorizzare il traffico di rete globale) risalente a quasi 10 anni fa.

Incuriosito dalla scoperta, ha avviato un’analisi approfondita del proxy.

Lavorando a stretto contatto con l’agente IA Mythos Preview, il ricercatore è riuscito a isolare una falla strutturale da lui stesso ribattezzata “Squidbleed“.

La vulnerabilità, tracciata ufficialmente con l’identificativo CVE-2026-47729, è stata prontamente segnalata nel mese di aprile ai manutentori del progetto originario. Il team di sviluppo ha infine rilasciato la patch risolutiva l’8 giugno, integrandola nella versione 7.6 del software.

Il fantasma di NetWare e l’errore nel codice

L’aspetto forse più affascinante di questa vicenda risiede nell’origine stesso del bug. La falla si annidava all’interno del parser dedicato alla lettura delle directory FTP di Squid ed era stata introdotta in modo del tutto involontario attraverso il commit identificato dalla stringa bb97dd37a, compilato nel lontano 1997.

In quell’epoca, il codice sorgente fu modificato per garantire la compatibilità con i server NetWare, un sistema operativo di rete che godeva di enorme popolarità nel mercato aziendale prima della definitiva affermazione di Windows e Linux.

Questi vecchi server restituivano i dati aggiungendo spazi vuoti supplementari tra la marcatura temporale di modifica e il nome del file vero e proprio, differenziandosi dai normali standard di formattazione. Per aggirare l’ostacolo, venne inserito un ciclo progettato appositamente per ignorare quegli spazi in eccesso.

Tuttavia, l’analisi congiunta umana e artificiale ha fatto emergere un dettaglio microscopico ma letale: se un server FTP controllato da un aggressore omette maliziosamente di fornire il nome del file, il sistema punta direttamente al carattere di terminazione nullo.

La funzione di ricerca impiegata in quel punto elabora tale carattere come fosse parte integrante della stringa di testo, causando un loop infinito che valica i confini del buffer e restituisce al server ostile frammenti di memoria interna carichi di informazioni private.

Superficie di attacco e mitigazione del rischio

Affinché una simile intrusione abbia successo, l’infrastruttura di rete deve presentare due condizioni specifiche. In primo luogo, il proxy deve avere la possibilità di ispezionare il traffico, perciò deve elaborare richieste in chiaro o trovarsi in un ambiente in cui la crittografia viene interrotta localmente. In secondo luogo, il sistema deve permettere la comunicazione verso l’esterno sfruttando la porta TCP 21, riservata proprio al protocollo FTP.

Questo standard di trasferimento file rappresenta oggi un vero e proprio relitto tecnologico, tanto che i browser basati su Chromium ne hanno interrotto il supporto di base ormai da svariati anni.

La correzione software introdotta con l’ultima versione di Squid consiste in un banale controllo preventivo prima di eseguire la lettura del testo.

Gli esperti di sicurezza informatica raccomandano caldamente agli amministratori di sistema non solo di installare immediatamente la nuova release, ma anche di isolare la radice del problema disabilitando del tutto l’accesso FTP all’interno delle configurazioni proxy.

Considerato che le organizzazioni moderne generano un volume di traffico legittimo verso tale protocollo vicino allo zero, la sua totale disattivazione chiude immediatamente l’intera superficie di attacco senza provocare alcun tipo di impatto o disservizio per gli utenti finali.

Questo articolo L’IA ha scoperto una falla vecchia quasi 30 anni e che nessuno aveva ancora notato è stato pubblicato in origine su GizChina.it.