Em meados de agosto, pesquisadores da empresa de IA Calif e da Wiz, de propriedade do Google, identificaram duas falhas graves no PHP, a linguagem com décadas de existência usada por cerca de 70% dos sites com programação conhecida no lado do servidor. Os bugs poderiam permitir execução remota de código sem autenticação — efetivamente permitindo que um invasor execute código em um servidor vulnerável. A Calif usou o GPT-5.6 Sol da OpenAI; a Wiz usou uma combinação de ferramentas de IA. ¹

O perigo não era apenas que o PHP estivesse vulnerável, mas que uma fraqueza que se acreditava existir havia cerca de duas décadas tinha se tornado muito mais fácil de transformar em arma. A Wiz disse que a exploração antes exigia uma “cadeia de etapas excepcionalmente complexa”, próxima do limite do que pesquisadores humanos poderiam alcançar. ² Especialistas em segurança agora argumentam que a IA reduziu a antiga margem entre a divulgação e o ataque: o pesquisador da Tolmo Matt Suiche disse que sua equipe criou um exploit funcional em menos de um dia, uma tarefa que antes poderia ter levado semanas. ¹

Então, a corrida pela divulgação se acelerou. Detalhes vazaram online antes do lançamento planejado, a Calif publicou brevemente um vídeo de prova de conceito, e a PHP Foundation antecipou sua correção em um dia. A Amazon Threat Intelligence já havia observado uma tentativa de exploração dias antes; a Cloudflare relatou posteriormente que os ataques subiram de milhares antes da divulgação para milhões depois dela. ³

Na quarta-feira e na quinta-feira, a resposta defensiva tornou-se visível para usuários comuns. Governos da Finlândia, dos Países Baixos, da Grã-Bretanha, da Alemanha e do Japão tiraram serviços do ar ou instaram empresas a fazê-lo; negócios e plataformas seguiram o exemplo enquanto as correções eram instaladas. Para grandes instituições, um assessor de pequenas empresas chamou a interrupção de um “pequeno obstáculo”; para empresas menores, as interrupções duraram até sete horas. ⁴

O consenso era corrigir primeiro, mas sem pânico. A PHP Foundation disse não ter evidências de execução remota de código bem-sucedida, enquanto a Dataminr relatou varreduras e exploits não funcionais, em vez de comprometimentos conhecidos. ⁵ No entanto, sites legados enfrentam uma escolha mais difícil: versões não suportadas do PHP podem não ter correções oficiais, correndo o risco de desaparecer permanentemente. Em meio à correria, Aravind Srinivas promoveu créditos gratuitos para uma verificação automatizada de exposição ao PHP — outro sinal de que a IA está se tornando parte do kit de reparo, bem como do modelo de ameaças. Aravind Srinivas (AravSrinivas)⁶