Durante mais de uma década, duas falhas graves ficaram escondidas no PHP (abre em nova aba), a linguagem de programação usada por cerca de 70% dos sites do mundo. Elas vieram a público na quarta-feira (21). Entre quarta e quinta, governos, bancos, companhias aéreas e até a Wikipédia preferiram tirar páginas do ar a correr o risco de uma invasão. A IA não só achou o problema. Foi ela que o tornou explorável de verdade, e é isso que faz do episódio um marco.
Pouca gente já ouviu falar de PHP, mas quase todo mundo usa. Paul Spain, executivo-chefe da Gorilla Cyber Security, explicou à BBC que, quando você abre a Wikipédia, é o PHP que busca a informação e a organiza na tela. A linguagem também move lojas online e o WordPress, sistema por trás de inúmeros blogs e sites. Ela é mantida por uma organização sem fins lucrativos e funciona como aquela infraestrutura invisível que só vira assunto quando quebra.
O que a IA mudou
Segundo Joe Tidy, correspondente de cibersegurança da BBC, pesquisadores do PHP já desconfiavam em 2024 de uma brecha teórica na linguagem. Faltava provar que alguém conseguiria transformar aquela suspeita em ataque real, e ninguém conseguiu. A peça que faltava veio de modelos de IA de ponta, usados no Patch the Planet, iniciativa da OpenAI (abre em nova aba) para encontrar vulnerabilidades e corrigi-las com IA. A Euronews informa que modelos da OpenAI e do Google participaram do trabalho.
A Wiz (abre em nova aba), empresa de segurança do Google e uma das que encontraram as falhas, resumiu o ponto central: "O que a IA mudou foi a capacidade de entender as fraquezas e transformá-las em um ataque funcional". E acrescentou: "Com modelos de IA de ponta e as ferramentas certas, um único pesquisador completou em uma semana o que antes levaria meses de trabalho de uma equipe de nível mundial". Vale ler essa frase duas vezes, porque ela é a notícia. O defeito era antigo. O que ficou barato foi explorá-lo.
A Calif, outra empresa envolvida, diz ter chegado às falhas em 1º de agosto com ajuda de um grande modelo de linguagem. A Wiz classificou as brechas como as mais graves já detectadas por IA. A OpenAI falou em "um dos problemas de segurança de maior impacto da memória recente".
O que a falha permite
O conjunto de falhas foi batizado de PHP2Shell e registrado como CVE-2026-109618 e CVE-2026-109619. Ele afeta a forma como o PHP lida com a memória do computador. Quando um pedido feito a um site termina de forma inesperada, o PHP pode deixar dados para trás. Um invasor consegue depois ler ou corromper essas sobras, que podem incluir senhas. Segundo a Cloudflare (abre em nova aba), a brecha também permite executar código à distância. Na descrição da BBC, um atacante poderia assumir servidores sem precisar de login.
Quando o remédio também derruba o site
Os donos de sites ficaram diante de uma escolha ingrata: sair do ar ou continuar exposto. Muitos escolheram a primeira opção. A companhia aérea japonesa ANA, a ferrovia JR West e o banco MUFG suspenderam páginas. O Ministério do Interior da França colocou todos os seus sites em manutenção preventiva. Na Finlândia, a Valtori, que cuida da TI do governo, suspendeu serviços públicos. Na Dinamarca, saiu do ar a plataforma nacional de comunicação escolar. A Wikimedia desligou sistemas por precaução, e o Internet Archive também ficou fora do ar por pouco tempo.
O caso mais simbólico veio da Holanda, onde a agência nacional de cibersegurança tirou o próprio site do ar. Depois vieram o Porto de Roterdã, a federação de futebol, os sites dos cinco maiores partidos e vários hospitais. No Reino Unido, a ministra de tecnologia, Baroness Lloyd of Effra, disse à Câmara dos Lordes que 32 serviços do governo estavam indisponíveis e quatro funcionavam parcialmente. Alguns usuários já chamam o episódio de "Outubro Negro".
A corrida que começou com o anúncio
Publicar uma correção tem um efeito colateral conhecido. Atacantes estudam as mudanças para entender a falha original, e ferramentas de IA podem acelerar esse trabalho. O CEO da Cloudflare afirmou no X que a rede da empresa registrou milhões de tentativas de exploração em poucos dias. Costin Raiu, cofundador da TLP, disse que a IA está alimentando uma "corrida para explorar" e que a próxima etapa pode ser o "comprometimento em massa de todo servidor web vulnerável da internet".
O quadro não é de catástrofe, pelo menos por enquanto. Até quinta-feira, nenhum ataque bem-sucedido havia sido relatado. Olly Whitehouse, diretor de tecnologia do NCSC, o centro britânico de cibersegurança, chamou o evento de "sem precedentes", mas disse não haver indícios de invasões. Especialistas ouvidos pela BBC alertam que o impacto real pode levar meses para aparecer.
O número que mais preocupa não está nas listas de sites desligados. Ele vem da Censys, empresa que mapeia a internet: de cerca de 2,6 milhões de servidores que informam usar PHP, aproximadamente 1,5 milhão rodavam versões para as quais não havia correção disponível. Quem tirou o site do ar ao menos percebeu o problema. A ameaça maior é a enorme quantidade de servidores esquecidos.
O que fazer agora
- Se você cuida de um site em PHP: atualize para as versões 8.2.35, 8.3.36 ou 8.4.27, ou outras mais recentes. A NSA, agência de segurança dos EUA, e a agência de cibersegurança da Europa pediram ação imediata.
- Se uma agência ou empresa de hospedagem cuida do seu site: peça confirmação de que a atualização foi feita. A janela para isso se mede em dias.
- Se o seu site está no WordPress.com ou no Tumblr: a Automattic, dona dos dois serviços, diz que os ambientes hospedados por ela estão protegidos.
- Se você só navega: não há nada para instalar. A correção acontece nos servidores, não no seu celular.
Desta vez, a ordem dos acontecimentos ajudou. A IA estava nas mãos de quem queria consertar, e a PHP Foundation preparou a correção antes do anúncio público. A Wiz fala em um "ponto de inflexão" da IA, e é difícil discordar. O que ninguém sabe ainda é quem vai chegar primeiro na próxima vez.