IA ajuda a descobrir falhas críticas no PHP, gerando alerta global

Uma falha crítica de segurança no PHP, linguagem de programação que sustenta cerca de 70% da internet, foi explorada com a ajuda de inteligência artificial. A vulnerabilidade, que permitia a execução remota de códigos maliciosos em servidores sem a necessidade de senha, permaneceu sem solução por anos e gerou um alerta global de segurança. As duas brechas identificadas receberam pontuação de gravidade 9,2 em uma escala de 0 a 10.

A descoberta foi detalhada pela empresa de segurança Calif e pela PHP Foundation. Segundo os pesquisadores, a IA, como o GPT-5.6 Sol da OpenAI e o Gemini 4 Argon do Google, foi crucial para identificar caminhos de exploração de uma falha que existia desde 2024 e cuja gravidade não havia sido completamente demonstrada. A investigação, iniciada em julho de 2026, resultou na comunicação da vulnerabilidade aos responsáveis pelo PHP em 11 de agosto e na apresentação de uma prova de conceito três dias depois.

A demora na correção e o papel da IA

A PHP Foundation reconheceu que o atraso na correção envolveu dificuldades técnicas e problemas na organização da equipe. Diversas propostas de correção foram desenvolvidas desde 2024, mas nenhuma avançou de forma satisfatória, seja por comprometer a compatibilidade com aplicações existentes, introduzir novos riscos ou exigir mudanças em extensões de terceiros. A ausência de uma demonstração concreta de ataque também dificultou a priorização.

O uso de IA acelerou a análise de grandes volumes de código. Pesquisadores utilizaram conhecimento prévio sobre vulnerabilidades antigas do PHP para orientar as ferramentas de IA, recuperando problemas registrados em 2004 e 2020. No entanto, a descoberta ainda exigiu conhecimento especializado e perguntas direcionadas, indicando que modelos de linguagem ainda não substituem a expertise humana na identificação de todas as vulnerabilidades.

Impacto global e medidas no Brasil

A divulgação das falhas desencadeou um aumento exponencial nas tentativas de invasão. A Cloudflare registrou milhões de tentativas de exploração em poucas horas após o anúncio. Governos na Europa e em outros países, incluindo agências como a NSA nos EUA e a Agência Nacional de Cibersegurança francesa, recomendaram correções urgentes ou o desligamento de sistemas vulneráveis. Empresas como Nomura, ANA e Orange também suspenderam serviços temporariamente.

No Brasil, órgãos públicos como a Agência Nacional de Telecomunicações (Anatel) e tribunais federais (TRF1, TRF4, TRF6) suspenderam preventivamente o acesso a sistemas como o Sistema Eletrônico de Informações (SEI). O governo federal, por meio do Centro Integrado de Segurança Cibernética do Governo Digital (CISC), recomendou a atualização imediata dos sistemas. Até o momento, não há relatos de grandes impactos no Brasil, mas a recomendação é a aplicação dos patches de atualização, que são a única forma segura de proteção.

Próximos passos

Os desenvolvedores do PHP disponibilizaram atualizações para as versões corrigidas do software. A recomendação geral é que administradores de servidores e provedores de hospedagem apliquem esses patches o mais rápido possível. Em casos onde a atualização imediata não é viável, a suspensão temporária do acesso externo aos sistemas vulneráveis é considerada uma medida de precaução.