Pesquisadores da Calif e do Wiz, do Google, identificaram duas vulnerabilidades críticas no PHP, a linguagem web por trás de cerca de 70% dos sites, usando uma combinação de ferramentas avançadas de IA. As falhas, presentes na base de código do PHP há anos, poderiam permitir que um invasor não autenticado executasse código em um servidor e acessasse arquivos ou bancos de dados.¹

A descoberta foi inicialmente apresentada como um exemplo de a IA ter chegado à falha primeiro. A OpenAI disse que modelos de fronteira encontraram as falhas antes dos atacantes e ajudaram pesquisadores a validar correções. No entanto, também alertou que a mesma capacidade poderia ajudar atacantes a criar rapidamente ferramentas ofensivas — uma tensão no centro da resposta.²

Na terça-feira, essa resposta já estava sob pressão. Um vídeo de prova de conceito demonstrando uma cadeia de exploração foi brevemente publicado online, segundo relatos, antecipando em um dia o lançamento planejado de correções pela PHP Foundation. Na quarta-feira, as correções chegaram, e a NSA orientou organizações que executam PHP a atualizarem imediatamente ou tirarem os sistemas afetados do ar.³

Esse alerta provocou interrupções, enquanto governos e outros operadores na Europa e nos Estados Unidos retiravam temporariamente sites do ar para aplicar as correções. A primeira-ministra do Japão, Sanae Takaichi, pediu ação naquela noite e disse que suspender sites poderia reduzir o risco quando uma correção rápida não fosse possível.⁴

A disputa mais relevante é sobre se a corrida já foi perdida em alguns lugares. A Amazon disse ter detectado uma tentativa de exploração quatro dias antes da divulgação pública e que os bugs estavam “agora sendo amplamente explorados na prática”.⁵ A PHP Foundation, porém, afirmou não ter visto evidências de exploits funcionais — apenas código gerado incompleto ou não funcional.³

Enquanto empresas correm para agir, ferramentas comerciais também estão entrando em cena: Aravind Srinivas disse que usuários poderiam receber créditos para verificar a exposição de sistemas PHP e configurações de implantação do GitHub.Aravind Srinivas (AravSrinivas)⁶ A tarefa imediata é banal, mas enorme: corrigir rápido ou ficar às escuras.