Durante décadas, um defeito ficou escondido no PHP (abre em nova aba), a linguagem que move boa parte dos sites do mundo. Nesta semana, ele virou notícia da pior forma. Ferramentas de inteligência artificial do Google (abre em nova aba) e da OpenAI (abre em nova aba) encontraram a falha, e sites de governos e serviços públicos em vários países tiveram de sair do ar, segundo o Times of India. Agora começa a parte difícil: consertar tudo antes que criminosos, também armados de IA, cheguem primeiro.
O tamanho do problema vem da história. O cientista da computação dinamarquês-canadense Rasmus Lerdorf criou o PHP nos anos 1990 como um jeito simples de fazer sites. Hoje, cerca de 70% dos sites dependem dele de alguma forma, segundo estimativa citada pelo jornal britânico The Telegraph. Uma falha ali não significa um site quebrado. Significa um cano rachado no encanamento da internet.
"Há erros que não importam. Há erros que importam, mas não são uma catástrofe. E, de vez em quando, há o que eu chamaria de vulnerabilidade monstro. Esta é uma delas", disse ao Telegraph Ciaran Martin, ex-chefe de uma agência nacional do governo britânico.
O conserto virou mapa
O detalhe mais incômodo é que a correção, em vez de encerrar o caso, acelerou a corrida. Os responsáveis por sistemas foram "encorajados a atualizar imediatamente", e empresas de segurança alertaram que atacantes já miravam instalações sem o conserto, relatou o Times of India. A correção é pública, então aponta exatamente onde estava o buraco. Segundo analistas, ferramentas de IA permitem fazer a engenharia reversa da falha com esforço mínimo.
A Wiz (abre em nova aba), empresa de cibersegurança, resumiu a mudança: "Antes da IA, esse trabalho manual seria difícil de executar e mais difícil ainda de escalar. Com a IA, isso não é mais uma barreira." O alerta da empresa é de comprometimento em massa de servidores desprotegidos.
Os números da Cloudflare (abre em nova aba) mostram como isso fica na prática. Segundo Matthew Prince, da empresa, as tentativas de explorar o PHP2Shell, nome que a falha ganhou, saltaram de milhares nas dez horas anteriores à divulgação para milhões depois dela. O buraco é o mesmo de sempre. O que mudou é quanta gente sabe dele e quão barato ficou usá-lo.
"Outubro Negro"
O Wall Street Journal já batizou o momento de "Outubro Negro" e descreve criminosos recorrendo a uma nova geração de ferramentas de ataque movidas a IA. O Telegraph acrescenta o pano de fundo: muitas falhas antigas passavam despercebidas ou nunca eram exploradas. Agora hackers as descobrem em ritmo alarmante e alcançam brechas que antes seriam impossíveis de atacar.
Os sinais vinham de antes. Em agosto, o analista Aravind Raghunathan relatou em seu blog um caso quase didático. Uma correção automática do Copilot Autofix removeu uma proteção de segurança num repositório da Snowflake (abre em nova aba). Cinco dias depois, um agente autônomo de IA achou a brecha, depurou sozinho o próprio ataque que tinha falhado e extraiu um token de acesso ao Jira. Uma IA abriu a porta, e outra a encontrou em menos de uma semana.
Então a IA virou parquinho de hacker?
Em parte, sim, mas o parquinho já estava montado. Um post que circulou no Bluesky nesta semana colocou bem: "Isso não acontece porque a IA ganhou consciência [...], mas porque a IA está provando algo que sempre soubemos: boa parte do software que roda a internet, nossos aparelhos, nossas contas e nossas vidas é vulnerável, ou está desatualizado, ou tem falhas de segurança".
Concordo, com uma ressalva. A IA barateou a descoberta para os dois lados. Foram ferramentas do Google e da OpenAI, afinal, que acharam o PHP2Shell. Mas o conserto continua lento e humano: alguém precisa atualizar servidor por servidor, muitas vezes mantidos por quem nem sabe que usa PHP. O atacante só precisa de uma máquina esquecida, enquanto o defensor precisa cuidar de todas. A IA não mudou essa regra. Só encolheu o tempo que os defensores tinham para cumpri-la.
E a ideia de que esse poder ficaria trancado em poucos laboratórios envelhece rápido. Nesta semana, a chinesa Moonshot apresentou o Kimi K3.1 Pro (abre em nova aba), um modelo de pesos abertos (que qualquer um pode baixar e rodar), com pesos completos prometidos até 4 de novembro. O site Wccftech destacou que dados de cibersegurança foram retirados do treinamento, "mas isso mal segura seu potencial".
O que fazer agora
Se você tem um site, uma loja virtual ou um blog, pergunte hoje à empresa de hospedagem ou a quem cuida da página se o PHP foi atualizado depois do alerta desta semana. E não aceite "acho que sim" como resposta. Se um serviço público que você usa ficou fora do ar, a explicação pode ser justamente essa correria.
A IA não criou a fragilidade da internet. Só tornou caro demais continuar fingindo que ela não existe.