O problema começou em agosto, quando pesquisadores da Calif e da Wiz, de propriedade do Google, usaram separadamente sistemas de IA para investigar o PHP, a linguagem com décadas de existência por trás do WordPress, do Drupal e, segundo algumas estimativas, de cerca de 70% dos sites. A Calif usou o GPT-5.6 Sol da OpenAI; a Wiz combinou seu agente Atlas com o Gemini 4 Argon e o GPT-5.6 Sol. A descoberta deles: duas falhas críticas, coletivamente chamadas PHP2Shell, que poderiam permitir que um invasor não autenticado executasse código em um servidor vulnerável.¹

As falhas permaneceram no PHP por anos, em parte porque criar um exploit antes exigia uma cadeia incomumente complexa de etapas técnicas. O alerta da Wiz foi contundente: a IA agora pode adaptar um exploit a “diferentes versões do PHP, configurações e layouts de memória”.² Isso tornou a divulgação coordenada menos uma atualização rotineira de software do que uma corrida contra o tempo.

Quando detalhes vazaram antes do lançamento planejado, a PHP Foundation antecipou as correções para a manhã de quarta-feira. Governos e empresas foram instruídos a atualizar imediatamente ou tirar os sistemas do ar. A primeira-ministra do Japão, Sanae Takaichi, pediu ação urgente, dizendo que a suspensão temporária poderia ser uma forma eficaz de reduzir o risco quando a aplicação rápida de correções fosse impossível.³

As paralisações se espalharam de serviços públicos finlandeses e holandeses a sites do governo britânico, enquanto empresas enfrentavam a mesma interrupção. Para Kalle Pusa, em Helsinque, até organizar a retirada de um sofá velho teve de esperar: os serviços digitais essenciais, disse ele, estão “entrelaçados ao tecido da nossa sociedade”, e esse tecido havia sido rasgado.⁴

Os atacantes agiram rapidamente. A Cloudflare registrou milhares de tentativas de exploit antes da divulgação, depois dezenas de milhares em 45 minutos, centenas de milhares em duas horas e, por fim, milhões.⁴ Ainda assim, o cenário permaneceu controverso: a PHP Foundation disse não ter evidências de exploits funcionais, enquanto a telemetria da Amazon relatou uma tentativa de exploração do PHP2Shell antes da correção.⁵

Para os usuários, o ônus imediato recai sobre os operadores de sites — embora especialistas em segurança alertem que serviços comprometidos podem expor dados pessoais. Uma resposta prática já está sendo comercializada: Aravind Srinivas disse que a Computer oferecia créditos para verificar vulnerabilidades de PHP, com uma ferramenta que examina sites e configurações de implantação e prioriza correções.Aravind Srinivas (AravSrinivas)⁶