Pesquisadores da OpenAI, da empresa de segurança cibernética Wiz (integrada ao Google) e da startup Calif utilizaram modelos de inteligência artificial para identificar e corrigir duas falhas críticas na linguagem de programação PHP, divulgadas na quarta-feira (21). As vulnerabilidades, batizadas em conjunto de PHP2Shell, estavam ocultas no código há mais de uma década e atingiam uma tecnologia que sustenta cerca de 70% dos sites da internet.
A descoberta contou com o uso combinado dos modelos GPT-5.6 Sol, da OpenAI, e Gemini 4 Argon, do Google, dentro da iniciativa Patch the Planet, liderada pela desenvolvedora do ChatGPT. Em comunicado oficial, a OpenAI declarou: “Consideramos este um dos problemas de segurança mais impactantes dos últimos tempos”. Os pesquisadores da Wiz afirmaram em nota que “essas descobertas estão entre as vulnerabilidades mais graves já encontradas no PHP e, possivelmente, na história do software”.
Como a falha PHP2Shell afeta servidores e sites em PHP
A linguagem PHP opera nos bastidores de páginas e aplicações web, sendo responsável por funções internas como a verificação de credenciais de login e o processamento de pagamentos. O software serve de base para plataformas de gerenciamento de conteúdo como WordPress, Drupal, Joomla e MediaWiki, sistema utilizado pela Wikipédia.
As duas brechas descobertas afetam a segurança de memória no núcleo do próprio motor do PHP. Elas decorrem de corrupção de memória durante o tratamento de situações de esgotamento de memória (conhecidas tecnicamente como out-of-memory) e de estados internos residuais entre requisições HTTP. Por atingirem o motor da linguagem, as falhas expõem os servidores mesmo quando o código individual do site foi programado de forma segura.
Com a exploração dessas falhas, invasores conseguem realizar a execução remota de código (RCE, na sigla em inglês para quando um comando externo roda no sistema invadido) sem necessidade de senha ou autenticação prévia. Esse acesso permite instalar programas maliciosos (malwares), assumir o controle de servidores vulneráveis e roubar informações confidenciais de clientes.
Participaram dos trabalhos técnicos a pesquisadora Amy Burnett, da equipe OpenAI Codex Security, o pesquisador Sagi Tzadik, da Wiz Research, e o pesquisador de segurança Ryan Austin, da startup Calif. Segundo a equipe da Wiz, a inteligência artificial alterou a capacidade de análise sobre o código antigo: “Demonstrar que essas falhas podiam ser exploradas exigia uma sequência de etapas excepcionalmente complexa, no limite do que pesquisadores humanos conseguiam realizar na prática. Os modelos de IA de ponta reduziram substancialmente essa barreira, transformando uma falha antiga em uma vulnerabilidade explorável.”
Versões do PHP afetadas, códigos CVE e pacotes de correção
A equipe de segurança do PHP e a PHP Foundation liberaram pacotes emergenciais de atualização junto ao alerta público. Os dados técnicos do incidente e os pacotes disponibilizados para os administradores de sistemas reúnem os seguintes parâmetros:
- Registros oficiais das falhas: CVE-2026-109618 e CVE-2026-109619 (identificadores do sistema internacional de catalogação de vulnerabilidades).
- Pontuação de gravidade: nota 9,2 na escala CVSS 4.0, índice técnico que mede a severidade de brechas cibernéticas.
- Sistemas atingidos: versões da linguagem que vão do PHP 5.4 ao PHP 8.5.
- Atualizações emergenciais completas: versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 disponíveis para download no site oficial do PHP.
- Correções para sistemas antigos: pacotes mínimos de código-fonte liberados para as versões 7.4 a 8.1.
- Data e horário do alerta oficial: 21 de outubro de 2026, às 14h UTC.
Acompanhe: OpenCode Console tem chaves de API da OpenAI, Anthropic e Google vazadas em ataque de destilação
Reação de agências de segurança, governos e Cloudflare ao alerta do PHP
A divulgação das vulnerabilidades gerou alertas imediatos de órgãos de defesa cibernética dos Estados Unidos, do Reino Unido e da União Europeia. O FBI e a Agência de Segurança Nacional norte-americana (NSA), além do centro europeu CERT-EU e da agência britânica GCHQ, orientaram administradores a aplicarem as correções imediatamente ou a desligarem os sistemas expostos. Na Europa, governos e empresas de mídia retiraram seus portais do ar de forma preventiva enquanto instalavam as atualizações.
Na infraestrutura de rede, a Cloudflare, empresa que tem Dane Knecht como diretor de tecnologia (CTO), atualizou as regras de proteção de seu firewall de aplicações web para bloquear investidas contra seus usuários. Mesmo com a barreira ativa, a companhia informou ter registrado as primeiras tentativas de ataques explorando as falhas logo após a comunicação pública do problema.
O processo de correção teve início em 24 de agosto de 2026, quando os pesquisadores relataram as falhas de forma privada à equipe do PHP para uma divulgação coordenada. O anúncio público estava agendado para quinta-feira (22), mas precisou ser antecipado. Na terça-feira (20), os códigos das CVEs vazaram em redes sociais e fóruns de tecnologia como o Hacker News, o que levou a PHP Foundation a emitir um aviso prévio e liberar os pacotes um dia antes do previsto.
Uso de inteligência artificial em ataques e fundo de US$ 1 bilhão da OpenAI
A aplicação de modelos avançados na segurança digital ocorre tanto na defesa de sistemas quanto em invasões. Em setembro de 2026, veio a público o caso de um invasor que utilizou modelos das empresas Anthropic e DeepSeek para atacar mais de 100 sites e roubar mais de 600.000 dados de cartões de crédito.
Diante desse quadro, o cofundador e presidente da OpenAI, Greg Brockman, avaliou o impacto da tecnologia sobre a infraestrutura da rede: “Acredito que estamos entrando em uma nova fase da segurança cibernética, onde os modelos são capazes de encontrar vulnerabilidades com impacto em escala de internet. Os defensores em todos os lugares têm um papel a desempenhar, aplicando modelos às suas próprias defesas, encontrando e corrigindo problemas em infraestruturas compartilhadas e compartilhando as melhores práticas que podem, para tornar a internet mais segura.”
Para ampliar a proteção de organizações que cuidam de serviços essenciais e contam com orçamento restrito para segurança digital, a OpenAI anunciou o compromisso de US$ 1 bilhão (valor total destinado a acesso subsidiado) por meio do programa batizado de Daybreak for Frontline Defenders.
