Ferramentas de inteligência artificial (IA) ajudaram pesquisadores a descobrir como explorar falhas de segurança presentes no PHP há mais de uma década . As vulnerabilidades, que podem permitir invasões de servidores, provocaram um alerta mundial nesta quarta-feira (21) e levaram governos e empresas a retirar sites do ar preventivamente. As descobertas envolveram pesquisadores das empresas de segurança Wiz e Calif, que utilizaram modelos do Google e da OpenAI para identificar os problemas e demonstrar possíveis ataques. Segundo a Wiz, as ferramentas de IA ajudaram a executar em aproximadamente uma semana uma investigação que poderia exigir meses de trabalho de especialistas. O PHP é uma das linguagens de programação mais utilizadas na internet e está presente em plataformas como WordPress, Drupal e Joomla . Segundo a W3Techs, 69,3% dos sites cuja linguagem de servidor é conhecida utilizam essa tecnologia. As falhas já foram corrigidas pelos desenvolvedores do PHP, mas os administradores precisam instalar as atualizações para proteger seus servidores. Como a IA encontrou as falhas no PHP? A investigação envolveu três ferramentas principais: o Wiz Atlas , plataforma de pesquisa de segurança com IA, o Gemini 4 Argon , do Google, e o GPT-5.6 Sol , da OpenAI. Os pesquisadores utilizaram esses sistemas para analisar o funcionamento interno do PHP e investigar problemas relacionados ao gerenciamento de memória. Em determinadas situações, o programa poderia continuar utilizando informações de memória que já deveriam ter sido descartadas. Criminosos poderiam explorar esse comportamento para executar comandos maliciosos em servidores, dependendo das condições do sistema. Segundo a Wiz, a dificuldade estava em combinar diferentes problemas e adaptar os ataques às configurações de cada servidor. Com o auxílio da IA, os pesquisadores conseguiram acelerar testes, analisar resultados e modificar suas técnicas até demonstrar ataques contra instalações de WordPress, Drupal e Joomla. A empresa afirma que o Gemini 4 Argon teve participação importante na identificação das vulnerabilidades, no desenvolvimento dos testes e na validação das correções. A descoberta também envolveu a Calif, que utilizou o GPT-5.6 Sol para identificar independentemente um dos problemas, dentro de uma iniciativa coordenada pela OpenAI. Por que não soubemos das falhas antes? Embora as vulnerabilidades tenham sido divulgadas nesta quarta-feira (21) , os primeiros sinais de um dos problemas foram identificados em 2024. Na ocasião, uma auditoria de segurança realizada pela Quarkslab levou um desenvolvedor do PHP a encontrar indícios de falhas no gerenciamento de memória. Entretanto, a equipe ainda não havia encontrado uma maneira concreta de explorar o problema para invadir servidores. Segundo a PHP Foundation, diferentes soluções foram discutidas, mas apresentavam riscos de incompatibilidade, perda de desempenho ou problemas para outras ferramentas desenvolvidas com PHP. As dificuldades, somadas à quantidade limitada de profissionais disponíveis, atrasaram a correção. A própria fundação reconheceu que houve uma falha na organização do processo. A situação mudou em agosto de 2026. No dia 11, pesquisadores da Calif e da OpenAI demonstraram formas de explorar o problema. Já em 19 de agosto, a Wiz identificou vulnerabilidades com auxílio de IA e, nos dias seguintes, comprovou ataques contra WordPress e Drupal. A empresa comunicou suas descobertas à equipe do PHP em 24 de agosto. Mesmo com a gravidade confirmada, os detalhes foram mantidos em sigilo para permitir que os desenvolvedores preparassem as correções antes que criminosos pudessem utilizar as informações. A divulgação estava prevista inicialmente para 22 de outubro, mas foi antecipada após informações sobre as vulnerabilidades começarem a circular nas redes sociais no dia 20. Foi a Wiz que corrigiu o problema? As falhas já foram resolvidas? A correção foi desenvolvida e publicada pelos responsáveis pelo PHP, com apoio de pesquisadores e empresas de tecnologia. Além da Wiz, organizações como OpenAI, Calif, Cloudflare e Google participaram das investigações, dos testes ou da preparação de medidas de proteção. Nesta quarta-feira (21), foram disponibilizadas quatro versões corrigidas da linguagem: As atualizações resolvem as duas vulnerabilidades identificadas como CVE-2026-109618 e CVE-2026-109619, que receberam nota 9,2 de 10 em gravidade. Entretanto, os sites que continuam utilizando versões vulneráveis ainda podem sofrer ataques. O alerta também se aplica a plataformas como WordPress: atualizar apenas o sistema de gerenciamento de conteúdo ou seus plugins não corrige uma vulnerabilidade presente no próprio PHP. A equipe responsável pela linguagem recomenda que administradores atualizem seus servidores imediatamente. A descoberta também preocupa especialistas por outro motivo. As mesmas ferramentas de IA que ajudaram os pesquisadores a identificar as vulnerabilidades podem ser utilizadas por criminosos para acelerar o desenvolvimento de ataques contra servidores que ainda não receberam as correções. Veja também: Prompt de menos de 100 caracteres fez agentes de IA invadirem mais de 100 empresas
