Durante mais de uma década, duas falhas no PHP ficaram quietas porque explorá-las dava trabalho demais. Em 21 de outubro, essa proteção acabou. Bancos japoneses suspenderam serviços, o governo da Finlândia tirou páginas do ar, a BBC fez o mesmo. A Agência de Segurança Nacional dos EUA (NSA) deu um conselho raro para quem não conseguisse atualizar a tempo: desligar o site.
O PHP (abre em nova aba) é a linguagem que roda nos bastidores de boa parte da web. É sobre ele que funcionam o WordPress (abre em nova aba), o Drupal e o Joomla. Segundo a Wiz (abre em nova aba), empresa de segurança ligada ao Google, ele está em 70% dos sites do mundo. A TechCrunch atribui o número ao serviço W3Techs, e a BBC avisa que não conseguiu verificá-lo. Seja qual for a fração exata, é muita coisa. O projeto PHP publicou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Elas corrigem duas vulnerabilidades críticas, a CVE-2026-109618 e a CVE-2026-109619, com nota de gravidade de até 9,2 em 10. As duas permitem que um estranho, sem login nem senha, execute comandos no servidor. Na prática, isso significa roubar dados, alcançar bancos de dados e adulterar páginas.
O defeito estava na linguagem
O problema não está em sites mal construídos. Está no próprio PHP, "independentemente da aplicação que roda sobre ele", nas palavras da Wiz. Já havia alertas antigos sobre a forma como a linguagem lida com a memória. Ninguém agiu porque um ataque funcional parecia inviável. Segundo a Wiz, demonstrá-lo exigia "uma cadeia de passos excepcionalmente complexa".
Foi aí que entraram os modelos de IA de fronteira. A Calif, dentro do programa Patch the Planet, da OpenAI (abre em nova aba), usou o GPT-5.6 Sol. A Wiz combinou esse mesmo modelo com o Gemini 4 Argon e uma ferramenta própria, o Wiz Atlas. De acordo com a empresa, a IA permitiu que um único pesquisador fizesse em uma semana o que antes tomaria meses de uma equipe de primeira linha. "Os modelos de fronteira foram decisivos para tornar o processo prático, permitindo desenvolver e adaptar ataques funcionais em várias aplicações em horas", disse a Wiz à BBC.
A cronologia ajuda a entender o tamanho da coisa. Em 1º de agosto, segundo a CNN, surgiu o primeiro método de ataque. Em 20 de agosto, a Wiz confirmou a invasão sem senha de um site Drupal. No dia seguinte, foi a vez de um WordPress. Em 24 de agosto, a empresa avisou a equipe de segurança do PHP, que reconheceu o problema em 21 de setembro e começou uma correção coordenada. Dois meses de sigilo, em tese.
A correria começou antes da largada
O plano era publicar a correção e os detalhes ao mesmo tempo. Não deu certo. A PHP Foundation disse ao Politico que as informações vazaram antes da data prevista, numa mistura de erro e violação intencional. Os alertas no GitHub saíram 26 minutos antes do horário anunciado.
A OpenAI afirma que, até onde sabe, a IA encontrou as falhas antes dos criminosos. Pode ser. Matthew Prince, presidente da Cloudflare (abre em nova aba), contou outra parte da história. Sua rede registrou milhares de tentativas de exploração nas dez horas anteriores ao anúncio público, dezenas de milhares nos 45 minutos seguintes e centenas de milhares em duas horas. Depois, milhões. Pesquisadores da Amazon, segundo relato do The Register reproduzido pela PCWorld, detectaram sondagens já em 17 de outubro, quatro dias antes do conserto. Tentativa não é invasão, e nenhuma das fontes contabilizou estragos efetivos. Mas a corrida começou antes do tiro de largada.
O passado também está nebuloso. A Wiz diz que todas as versões desde a 5.4, de 2012, têm ao menos uma das falhas. O CERT-EU, órgão de segurança da União Europeia, fala em todas desde a 5, de 2004. A correção oficial cobre apenas as versões 8.2 a 8.5. O PHP 8.1 e as anteriores não recebem mais atualizações. Para as versões 7.4, 8.0 e 8.1, a equipe de segurança ofereceu apenas remendos mínimos em código-fonte, coisa para especialista. E o projeto é taxativo: só atualizar resolve. Desligar a opção session.upload_progress.enabled bloqueia os caminhos de ataque já confirmados, mas não as variantes. Em 23 de outubro, o PHP recomendou manter essa opção desligada até a próxima atualização regular, por causa de um terceiro caminho de ataque, considerado improvável, que receberá o número CVE-2026-115560.
Morreu uma desculpa
A lição do episódio vai além do PHP. Morreu uma forma de segurança: a crença de que uma falha conhecida, mas trabalhosa demais, era uma falha inofensiva. "Com IA, isso deixou de ser uma barreira", disse a Wiz à TechCrunch. Os modelos ajudam a adaptar um ataque a versões, configurações e organizações de memória diferentes. O raciocínio vale para quem defende e para quem ataca.
Vyas Sekar, professor da Carnegie Mellon, resumiu: "A indústria de segurança vem alertando há muito tempo sobre o apocalipse que se aproxima, porque a IA consegue fazer essas coisas muito, muito rápido, melhor do que humanos". Ciaran Martin, ex-chefe da agência britânica de cibersegurança, foi mais seco: "muito, muito ruim".
O mundo está cheio de programas antigos com defeitos que alguém um dia classificou como teóricos. Ninguém sabe quantos deles a IA vai tornar práticos. O PHP mostrou apenas que, daqui em diante, a vantagem de quem defende se mede em dias, às vezes em minutos.