Em agosto, equipes separadas da Calif e da Wiz, de propriedade do Google, usaram ferramentas avançadas de IA para investigar o PHP, a linguagem web que, segundo estimativas, sustenta cerca de 70% dos sites. O que encontraram foram duas vulnerabilidades críticas — mais tarde apelidadas de PHP2Shell — que permaneceram ocultas por mais de uma década. O pesquisador da Wiz, Sagi Tzadik, inicialmente suspeitou de um erro da IA: “Os modelos tendem a alucinar.” Mas o exploit funcionou.¹

A descoberta proporcionou uma rara vitória defensiva. Pesquisadores coordenaram-se de forma privada com a PHP Foundation e grandes empresas de infraestrutura para desenvolver correções antes de tornar o caso público. A OpenAI chamou as falhas de “um dos problemas de segurança mais impactantes da memória recente”, ao mesmo tempo em que alertou que as mesmas capacidades de IA poderiam ajudar rapidamente invasores a criar ferramentas ofensivas.²

Essa vantagem começou a se deteriorar em outubro. A Amazon disse ter detectado uma tentativa de exploração em 17 de outubro, dias antes da divulgação planejada, enquanto reportagens e um vídeo de prova de conceito publicado acidentalmente aceleraram a corrida. Quando a notícia se espalhou, a Cloudflare registrou milhares de tentativas antes da divulgação, depois dezenas de milhares em 45 minutos, centenas de milhares em duas horas e, por fim, milhões.³

Na quarta-feira, a PHP Foundation lançou correções de emergência. A NSA e outras agências aconselharam organizações incapazes de atualizar imediatamente a tirar os sistemas do ar. Governos da Finlândia e dos Países Baixos ao Japão fizeram exatamente isso; a Grã-Bretanha disse que 32 serviços públicos ficaram temporariamente indisponíveis. Para os usuários, a interrupção foi banal, mas reveladora: o desenvolvedor de Helsinque Kalle Pusa não conseguiu providenciar a retirada de um sofá velho, dizendo que a infraestrutura digital “tecida no tecido da nossa sociedade” havia sido rasgada.⁴

O incidente acentuou uma divisão no mundo da cibersegurança. Os otimistas argumentam que a IA expôs um desastre antes que ele se desenrolasse plenamente; operadores de sistemas antigos e sem suporte dizem que a velocidade da exploração assistida por IA quebrou o antigo ciclo de corrigir e planejar. À medida que ferramentas comerciais chegavam rapidamente, Aravind Srinivas promoveu créditos gratuitos para um serviço de IA que verifica a exposição de sites PHP e configurações de implantação.Aravind Srinivas (AravSrinivas)⁵

Por enquanto, as correções estão disponíveis e os comprometimentos confirmados permaneceram limitados nas avaliações iniciais. Mas o PHP2Shell deixou clara a nova realidade: a IA pode encontrar primeiro as falhas mais profundas da internet — sem garantir aos defensores tempo suficiente para corrigi-las.