Pesquisadores da Calif e da Wiz, pertencente ao Google, usaram modelos avançados de IA para descobrir duas vulnerabilidades críticas no PHP, a linguagem com décadas de existência por trás do WordPress, Drupal e, segundo algumas estimativas, de cerca de 70% dos sites. A OpenAI chamou a descoberta de “um dos problemas de segurança de maior impacto da memória recente”, ao mesmo tempo em que reconheceu a tensão central: as mesmas capacidades que encontram falhas podem ajudar atacantes a transformá-las em armas.¹

O perigo não era inteiramente teórico. A Amazon disse ter detectado uma tentativa de exploração quatro dias antes da divulgação pública e posteriormente alertou que as falhas estavam sendo “amplamente exploradas na prática”. A resposta da NSA foi direta: instalar as atualizações imediatamente — ou tirar os sistemas do ar até que possam ser protegidos.²

Na quarta-feira, a PHP Foundation lançou correções, desencadeando uma corrida mundial para desligar sistemas e atualizá-los. A Grã-Bretanha afirmou que 32 serviços governamentais ficaram offline como precaução; portais holandeses de identidade digital e serviços públicos foram afetados; e sites na Alemanha, no Japão e na Finlândia também saíram do ar. Em Helsinque, o desenvolvedor Kalle Pusa descreveu o impacto da interrupção em escala humana: os serviços estão “entrelaçados ao tecido da nossa sociedade” e, durante dois dias, “poderia se dizer que grande parte do tecido foi rasgada”.³

Para os defensores, a prioridade era a velocidade. O CEO da Cloudflare, Matthew Prince, disse que as tentativas de exploração observadas passaram de milhares antes da divulgação para milhões depois, ressaltando quanto pouco tempo os administradores tinham para agir.³ Ainda assim, a Dataminr informou que, até a tarde de quinta-feira, havia visto varredura, identificação de características e exploits que não funcionavam, mas “nenhum comprometimento conhecido” — um lembrete de que as interrupções preventivas buscavam evitar uma catástrofe, não provar que todos os serviços já haviam sido invadidos.⁴

As consequências foram desiguais. Grandes organizações podiam tratar uma interrupção como um “pequeno obstáculo”, disse Alistair Greaves, provedor britânico para pequenas empresas; empresas menores, incluindo a dele, perderam serviços por até sete horas.³ Implementações mais antigas e sem suporte do PHP enfrentam uma escolha mais dura: corrigir, se possível, ou potencialmente desaparecer.

A resposta agora também está sendo automatizada. Aravind Srinivas disse que sua empresa estava oferecendo créditos para uma ferramenta que verifica a exposição de sites em PHP e configurações de implantação no GitHub e prioriza correções.Aravind Srinivas (AravSrinivas)⁵ Mas uma análise formulou a lição mais ampla de modo contundente: os defensores obtiveram desta vez uma vantagem inicial assistida por IA; incidentes futuros podem oferecer muito menos espaço entre a descoberta e o ataque.⁶