Falha crítica no PHP: correção demorou meses e exigiu IA

A Fundação PHP confirmou que os primeiros sinais de vulnerabilidades críticas na linguagem de programação, que poderiam permitir que invasores assumissem o controle de servidores sem login ou senha, surgiram em 2024. A correção dessas falhas, consideradas entre as mais graves já registradas no PHP, enfrentou atrasos significativos devido à falta de recursos, dificuldades na tomada de decisões pela equipe de segurança e a complexidade técnica envolvida.

A correção da vulnerabilidade se arrastou por meses, enfrentando obstáculos como a falta de um método conhecido de exploração remota na época, entraves na definição da estratégia de correção e a sobrecarga de especialistas com conhecimento aprofundado do PHP. A fundação reconhece que a segurança da linguagem depende de um grupo reduzido de desenvolvedores e colaboradores voluntários, o que limita a capacidade de resposta a incidentes.

O papel da inteligência artificial na identificação das falhas

Ferramentas de inteligência artificial, como o Claude Mythos, foram utilizadas pela Fundação PHP para analisar códigos e avaliar relatos de falhas, auxiliando na identificação mais rápida de problemas. No entanto, a IA não substitui a capacidade humana de definir a melhor estrutura para a correção.

A investigação das vulnerabilidades também avançou fora da fundação. Empresas de segurança como a Calif e a OpenAI identificaram as falhas de forma independente e as reportaram em agosto deste ano. Posteriormente, a Wiz, especializada em segurança na nuvem, encontrou outras formas de explorar as falhas, classificando o caso como um dos mais graves já registrados no PHP. A Wiz utilizou modelos como o Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI, para a investigação.

Impacto e medidas preventivas no Brasil e no mundo

A linguagem PHP é amplamente utilizada na internet, presente em plataformas como Facebook, Wikipedia e WordPress, além de sistemas de e-commerce como o Magento e plataformas educacionais como o Moodle. Rankings públicos indicam que o PHP ainda é a linguagem utilizada em cerca de 70% dos sites.

Diante da gravidade das falhas, governos e empresas em diversos países adotaram medidas preventivas. No Brasil, a Agência Nacional de Telecomunicações (Anatel) e tribunais suspenderam preventivamente o acesso ao Sistema Eletrônico de Informações (SEI), utilizado na gestão de processos administrativos, para evitar riscos de invasão. Até o momento, não há relatos de grandes impactos no país.

Uma atualização de segurança já está disponível para a linguagem. A aplicação dessa correção nos sistemas afetados é considerada a principal medida para reduzir o risco de ataques e invasões.