PHP armageddon: OpenAI, Wiz do Google encontra buracos antigos, deixando a internet em pânico

A Agência de Segurança Nacional dos EUA enviou um aviso alarmante na quarta-feira que duas falhas críticas foram encontradas no PHP, com patches já emitido pela Fundação PHP.

PHP é uma linguagem de programação do lado do servidor tão amplamente usada em aplicações web que possibilita cerca de 70% dos sites na internet; segundo alguns relatos, isso é mais de 33 milhões de sites. Também é usado por sistemas populares de gerenciamento de conteúdo como o WordPress.

A NSA alertou que essas falhas são tão graves que, se um site não puder ser corrigido imediatamente, ele deverá ser retirado da web até que possa ser corrigido. As falhas permitem que invasores se infiltrem no sistema de arquivos do servidor ou em um banco de dados que pode ser usado pelo aplicativo da web.

Curiosamente, essas lacunas foram ocultadas em todas as versões do PHP desde a versão 5, lançada em 2004. Sites que não executam versões relativamente atuais do PHP terão que fazer algum trabalho de atualização, já que o PHP 8.1 e versões anteriores não são mais suportadas. A recomendação é atualizar o servidor web para a versão atual do PHP, que é 8.5.12.

Então, como duas falhas tão onipresentes e de décadas que afetam quase todos os sites da Internet vieram à tona de repente? IA, naturalmente, especialmente via OpenAI e Wiz do Google.

A empresa de testes de segurança Calif estava envolvida na iniciativa “Patch the Planet” da OpenAI para encontrar falhas em software de código aberto. Usando GPT‑5.6 Sol, ele encontrou uma das falhas, divulgou a OpenAI em uma postagem de blog. Separadamente, a equipe Wiz também usou IA, ou seja, seu agente de segurança AI Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol para encontrar múltiplas vulnerabilidades em PHP.

Tanto a OpenAI quanto a Wiz seguiram práticas responsáveis ​​de pesquisa de segurança e trabalharam com PHP em patches antes de divulgar publicamente as falhas. Depois, todos trabalharam juntos para concretizar o que encontraram e testar os patches, atraindo uma série de outras pessoas para ajudar.

Wiz agradeceu à Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft e Vercel. (Embora os sites WordPress usem PHP, WordPress emitiu um comunicado dizendo que a falha não é específica do WordPress e que os sites que executam seu CMS devem corrigir seus servidores e trabalhar com suas empresas de hospedagem para garantir que seus sites estejam protegidos.)

A OpenAI afirma que essas falhas foram encontradas pelos pesquisadores antes que os hackers as descobrissem. Portanto, não houve relatos de explorações na natureza. Isto também ocorre em parte porque, antes da IA, essas falhas eram muito difíceis de serem exploradas pelos hackers. “Com a IA isso não é mais uma barreira. Os LLMs podem ajudar a adaptar uma exploração a diferentes versões, configurações e layouts de memória do PHP”, Wiz alertou em seu blog sobre as falhas.

Por outras palavras, este é o tipo de problema de segurança que foi encontrado e evitado por causa da IA, mas que também representa um risco elevado apenas por causa da IA.

Agora que o problema foi divulgado, os hackers estão totalmente informados. Começou a corrida para que a Internet corrija dezenas de milhões de sites antes que os hackers possam atacar os que não foram corrigidos. Daí a orientação da NSA de que, se você não conseguir corrigir seu site PHP imediatamente, é melhor colocá-lo off-line até que possa.