A equipe de segurança do PHP (abre em nova aba) publicou nesta quarta-feira (21) correções de emergência para duas falhas que permitem a um estranho na internet assumir o controle de um servidor sem senha e sem login. A OpenAI (abre em nova aba) se apressou em avisar que seus modelos de IA ajudaram a encontrá-las. As duas coisas são verdade. Para quem tem um site no ar, porém, só a primeira importa hoje.
O tamanho do problema
O PHP é a linguagem que funciona nos bastidores de uma fatia enorme da web. A própria OpenAI estima que ela esteja em cerca de 70% dos sites. As duas falhas, registradas como CVE-2026-109618 e CVE-2026-109619 e apelidadas em conjunto de PHP2Shell, receberam nota 9,2 numa escala de gravidade que vai até 10. Em português claro, um invasor envia uma requisição pela internet, sem se identificar, e pode passar a executar comandos no servidor.
Segundo a equipe do PHP, correm risco todas as instalações que atendem visitantes da web, em praticamente todas as formas de rodar a linguagem: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O caso mais grave é o do Apache com mod_php. Ali já existe um ataque demonstrado que dispara antes de qualquer código do site rodar. Ou seja, um site bem construído não se salva por isso.
Os dois defeitos têm a ver com uma faxina malfeita na memória do servidor. No primeiro, quando a memória acaba, o PHP é interrompido no meio de uma preparação, deixa dados pela metade e depois os trata como válidos. No segundo, restos de uma visita anterior sobrevivem depois de apagados e acabam reaproveitados pela visita seguinte.
Onde a IA entra (e onde não entra)
Pela versão da OpenAI, a empresa passou dois meses coordenando uma coalizão de mantenedores, pesquisadores e empresas de segurança. Os pesquisadores da Calif identificaram uma das falhas usando o GPT-5.6 Sol, dentro do programa Patch the Planet. A letra miúda merece leitura: a própria OpenAI reconhece que a Wiz (abre em nova aba) descobriu e reportou as duas vulnerabilidades por conta própria. Quem liderou as correções e o lançamento foram os mantenedores do PHP. Wiz, Cloudflare (abre em nova aba) e outras empresas contribuíram com pesquisa, suporte técnico e proteções preparadas antes do anúncio.
Os dois meses de espera tiveram motivo, segundo a OpenAI: o conserto exigiu uma mudança grande no motor da linguagem. A correção elimina o mecanismo que o PHP usava para abandonar às pressas uma requisição quando a memória acabava. No anúncio publicado no X, a empresa foi além do caso concreto e apresentou o episódio como um marco:
Devido à gravidade dessas falhas e ao uso disseminado do PHP, consideramos este bug uma das vulnerabilidades de maior impacto da memória recente. Isso também marca uma nova fase, em que a IA consegue encontrar falhas de segurança com impacto em escala de internet.
A frase é de marketing, mas não é vazia. A OpenAI afirma que, até onde sabe, a IA encontrou as falhas antes dos atacantes. Pode ser. Só que o site BleepingComputer relata que, antes de as correções saírem, o diretor de tecnologia da Cloudflare, Dane Knecht, confirmou que a empresa já observava os primeiros ataques contra as duas falhas, depois de instalar filtros de proteção que, segundo ele, eram provisórios. Achar primeiro não garante tempo de sobra. O Centro Nacional de Segurança Cibernética do Reino Unido não fez cerimônia: orientou as organizações a atualizar imediatamente ou tirar os sistemas do ar até conseguirem.
A vitrine
Ninguém monta um anúncio desses por acaso. No mesmo comunicado, a OpenAI lembra que comprometeu US$ 1 bilhão em acesso subsidiado à sua ferramenta Daybreak, pelo programa Daybreak for Frontline Defenders. Diz também que acionou a Super Intelligence Force da Casa Branca, o escritório do Diretor Nacional de Cibersegurança e a CISA (abre em nova aba), agência americana de segurança cibernética, além de parceiros internacionais. A empresa quer ser vista como quem protege a internet, e não apenas como quem a enche de chatbots.
O mérito existe, mas o crédito é coletivo. A parte mais pesada, reescrever um pedaço do motor da linguagem, ficou com a equipe do PHP.
O que fazer agora
Se você tem site, loja virtual ou sistema web, faça uma pergunta simples à sua hospedagem ou a quem cuida da parte técnica: o PHP já foi atualizado para as versões de 21 de outubro?
| Ramo do PHP | Versão corrigida |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1, 8.0 e 7.4 | Sem atualização oficial; a equipe publicou correções mínimas no código-fonte |
As versões 8.1 e anteriores não recebem mais atualizações do projeto. Pela gravidade do caso, a equipe abriu uma exceção e publicou correções mínimas para 7.4, 8.0 e 8.1, e algumas distribuições oferecem as suas próprias. Quem está no ramo 8.2 deve saber que ele perde o suporte em 31 de dezembro de 2026. Atualizar para a 8.2.35 compra tempo, não resolve a questão de vez. Existe ainda um ajuste de configuração que reduz o risco de uma das falhas, mas a própria equipe do PHP avisa que ele não protege por completo.
A OpenAI também publicou um verificador de versões, o php2shell-checker (abre em nova aba), que pode ser instalado como habilidade do Codex ou rodado direto pelo terminal.
A IA ajudou a achar o buraco. Fechá-lo agora depende de alguém com acesso ao servidor apertar o botão de atualizar, e quanto antes, melhor.