Apagão do PHP: OpenAI e Wiz, do Google, encontram falhas antigas e causam pânico na internet

A Agência de Segurança Nacional dos EUA emitiu um aviso alarmante na quarta-feira informando que duas falhas críticas foram encontradas no PHP, com correções já lançadas pela PHP Foundation.

O PHP é uma linguagem de programação voltada para o servidor, tão amplamente utilizada em aplicações web que alimenta aproximadamente 70% dos sites na internet; segundo algumas estimativas, isso representa mais de 33 milhões de sites. Ele também é utilizado por sistemas populares de gerenciamento de conteúdo, como o WordPress.

A NSA alertou que essas falhas são tão graves que, se um site não puder ser corrigido imediatamente, ele deve ser retirado do ar até que possa ser. As falhas permitem que invasores infiltrem-se no sistema de arquivos do servidor ou em um banco de dados que possa ser utilizado pela aplicação web.

Curiosamente, essas falhas estavam ocultas em todas as versões do PHP desde a versão 5, lançada em 2004. Os sites que não estão rodando versões relativamente atuais do PHP terão algum trabalho de atualização pela frente, já que o PHP 8.1 e as versões anteriores não são mais suportados. A recomendação é atualizar o servidor web para a versão atual do PHP, que é a 8.5.12.

Então, como duas falhas tão onipresentes e com décadas de existência, que afetam praticamente todos os sites da internet, vieram à tona de repente? Graças à IA, naturalmente, em particular por meio da OpenAI e do Wiz, do Google.

A empresa de testes de segurança Calif participou da iniciativa da OpenAI chamada “Patch the Planet” para encontrar falhas em softwares de código aberto. Usando o GPT-5.6 Sol, a empresa encontrou uma das falhas, conforme divulgado pela OpenAI em uma postagem no blog. Separadamente, a equipe da Wiz também utilizou IA — especificamente seu agente de IA de segurança Wiz Atlas, o Gemini 4 Argon e o GPT-5.6 Sol — para encontrar várias vulnerabilidades no PHP.

Tanto a OpenAI quanto a Wiz seguiram práticas responsáveis de pesquisa de segurança e trabalharam com o PHP em correções antes de divulgar publicamente as falhas. Em seguida, todos trabalharam juntos para detalhar o que encontraram e testar as correções, contando com a ajuda de vários outros colaboradores.

A Wiz agradeceu à Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft e Vercel. (Embora os sites em WordPress usem PHP, o WordPress emitiu uma declaração dizendo que a falha não é específica do WordPress, e os sites que rodam seu CMS devem atualizar seus servidores e trabalhar com suas empresas de hospedagem web para garantir que seus sites estejam protegidos.)

A OpenAI afirma que essas falhas foram encontradas por pesquisadores antes que os hackers as descobrissem. Portanto, não houve relatos de explorações ativas. Isso também ocorre, em parte, porque, antes da IA, essas falhas eram difíceis demais para os hackers explorarem. “Com a IA, isso deixou de ser uma barreira. Os LLMs podem ajudar a adaptar uma exploração para diferentes versões, configurações e layouts de memória do PHP”, alertou a Wiz em seu blog sobre as falhas.

Em outras palavras, este é o tipo de problema de segurança que foi encontrado e evitado por causa da inteligência artificial, mas que também representa um risco elevado justamente por causa dela.

Agora que o problema foi divulgado, os hackers estão totalmente cientes. A corrida começou para que a internet corrija dezenas de milhões de sites antes que os invasores possam atacar os que não foram corrigidos. Daí a orientação da NSA de que, se você não puder corrigir seu site em PHP imediatamente, é melhor tirá-lo do ar até que possa fazê-lo.