As origens da emergência remontam a anos. Um dos problemas subjacentes havia sido sinalizado à PHP Foundation em 2024, mas nenhuma correção foi aplicada; a fundação posteriormente chamou essa omissão de uma “falha estrutural” em seu processo de segurança.¹ As falhas permaneceram ocultas no PHP, a linguagem da web usada por cerca de 70% dos sites, em parte porque explorá-las exigia uma cadeia incomumente complexa de etapas técnicas.

Isso mudou em meados de agosto, quando pesquisadores da Calif usando o GPT-5.6 Sol da OpenAI e uma equipe separada da Wiz usando ferramentas de IA descobriram duas vulnerabilidades críticas, mais tarde apelidadas de PHP2Shell. Os bugs poderiam permitir execução remota de código sem autenticação — efetivamente permitindo que um intruso tomasse controle de um servidor, acessasse dados ou alterasse um site sem uma senha. A OpenAI apresentou o resultado como prova de que a “IA de fronteira encontrou essas vulnerabilidades antes dos atacantes”, ao mesmo tempo em que reconheceu que as mesmas capacidades podem produzir rapidamente ferramentas ofensivas.²

A vantagem protetiva evaporou nesta semana. Um vídeo de prova de conceito foi publicado acidentalmente na terça-feira, detalhes se espalharam online, e o PHP antecipou de quinta para quarta-feira o lançamento planejado de sua correção. A NSA pediu aos operadores que aplicassem a correção imediatamente ou colocassem os sistemas offline; sites governamentais na Europa, juntamente com serviços que vão do Internet Archive a jogos mais antigos, ficaram temporariamente fora do ar. A Amazon afirmou ter visto uma tentativa de exploração quatro dias antes da divulgação pública e alertou que as falhas estavam sendo “amplamente exploradas em ambiente real”.³

Essa é a tensão central: a IA pode ter encontrado o perigo antes dos criminosos, mas também torna a reprodução muito mais rápida. Pesquisadores de segurança dizem que o antigo ciclo de semanas para desenvolver explorações foi drasticamente encurtado; os proprietários de sites agora enfrentam uma escolha direta entre atualizações rápidas e indisponibilidade. Para usuários comuns, o risco imediato é indireto — serviços comprometidos podem expor credenciais e dados de pagamento —, por isso especialistas recomendam senhas exclusivas, autenticação de dois fatores e atenção a avisos de violações.⁴

Enquanto a corrida para aplicar correções continuava, empresas de IA também transformaram o incidente em um mercado de remediação. Aravind Srinivas disse que o Computer estava oferecendo créditos para verificar a exposição de sites PHP e configurações de implantação do GitHub, ressaltando como a varredura automatizada está se tornando parte tanto da resposta quanto da ameaça.Aravind Srinivas (AravSrinivas)⁵