O PHP2Shell não surgiu do nada. Dois anos antes do alerta desta semana, um pesquisador identificou uma falha com a mesma causa raiz e disse que a PHP Foundation havia sido notificada, mas nenhuma correção foi implantada. A fundação mais tarde chamou essa falha de uma “falha estrutural” ligada ao seu processo de tomada de decisões e à falta de recursos.¹

Em meados de agosto, pesquisadores da Calif e da Wiz, pertencente ao Google, descobriram duas vulnerabilidades críticas no PHP usando ferramentas de IA, incluindo o GPT-5.6 Sol da OpenAI. Os bugs, cada um classificado com 9,2 de 10, poderiam permitir que um intruso não autenticado executasse código remotamente em um servidor PHP — uma perspectiva assustadora para uma linguagem usada por cerca de 70% dos sites com programação conhecida do lado do servidor.¹

A descoberta inicialmente pareceu uma vitória defensiva. A OpenAI disse: “Até onde sabemos, a IA de fronteira encontrou essas vulnerabilidades antes dos atacantes”, ao mesmo tempo em que alertou que as mesmas capacidades poderiam ajudar atacantes a criar rapidamente ferramentas ofensivas.² Essa dualidade tornou-se a tensão central da história: a IA havia exposto uma fraqueza há muito escondida, mas a divulgação e as correções também poderiam dar aos atacantes um roteiro.

Na terça-feira, a Calif publicou acidentalmente um vídeo de exploração de prova de conceito, acelerando um lançamento que estava planejado para quinta-feira. A PHP Foundation lançou correções 24 horas antes, na quarta-feira. Até então, código que alegava explorar o PHP2Shell havia aparecido no GitHub, embora a fundação tenha dito não ter visto evidências de uma exploração pública funcional e tenha descrito o código gerado que circulava como incompleto ou não funcional.¹

Os governos trataram o risco como imediato. A NSA instou as organizações a aplicar as correções imediatamente ou tirar os sistemas do ar; alguns sites públicos europeus ficaram indisponíveis enquanto os operadores trabalhavam. Seu alerta foi direto: essas falhas podem oferecer “um caminho direto para o sistema de arquivos ou o banco de dados do servidor”.²

A corrida talvez já tenha começado. A Amazon disse ter detectado uma tentativa de exploração quatro dias antes da divulgação pública e que as vulnerabilidades estavam “agora sendo amplamente exploradas em ambiente real”.² Ferramentas comerciais também entraram rapidamente na resposta: Aravind Srinivas disse que os usuários poderiam receber créditos para verificar a exposição ao PHP, enquanto promovia uma ferramenta que prioriza correções.Aravind Srinivas (AravSrinivas)³

O episódio deixa uma lição mais difícil do que simplesmente corrigir o PHP: a IA pode dar aos defensores a primeira visão da próxima crise, mas também está encurtando o intervalo até que todos os demais alcancem essa capacidade.