A crise começou em agosto, quando equipes de pesquisa separadas da Wiz e da Calif, trabalhando com modelos avançados de IA, descobriram falhas relacionadas ocultas no código central do PHP por mais de uma década. Os bugs poderiam dar a alguém de fora controle em nível de comando sobre um servidor web não corrigido — uma perspectiva séria para uma linguagem que se estima sustentar cerca de 70% da web.¹

Para os pesquisadores, isso foi uma prova de que a IA pode fortalecer o lado defensivo. O pesquisador da Wiz Sagi Tzadik disse que agentes podem comprimir “meses de pesquisa tradicional” em dias ou até horas, embora humanos ainda tenham precisado passar dias entendendo e reproduzindo o bug.¹ Os mantenedores do PHP, empresas de segurança concorrentes e outros especialistas passaram então semanas trabalhando em uma correção sob divulgação coordenada.

Esse processo ordenado se fragmentou esta semana. Detalhes começaram a circular antes do lançamento planejado, e a PHP Foundation disse que a Chainguard havia “quebrado unilateralmente o embargo”, interrompendo semanas de coordenação.² O CEO da Chainguard, Dan Lorenc, disse que agiu porque acreditava que a exploração já estava em andamento; outros contestaram essa avaliação. O resultado foi o pesadelo que os defensores esperavam evitar: indícios públicos, correções incompletas e uma lista de alvos em rápida expansão.

A Cloudflare registrou milhares de tentativas de exploração antes do anúncio, depois dezenas de milhares em 45 minutos, centenas de milhares em duas horas e, por fim, milhões. Governos e empresas da Europa à Ásia tiraram serviços do ar enquanto aplicavam atualizações.³ Para o chefe cibernético holandês Matthijs van Amelsfort, a receita imediata foi brutalmente simples: “corrigir, corrigir e corrigir”.²

Autoridades ressaltaram que tentativas não são violações confirmadas, e visitantes comuns não precisam corrigir seus celulares apenas para navegar em um site PHP. O risco urgente está com os operadores de sites: um servidor não corrigido poderia expor dados, ser alterado ou se tornar uma plataforma de lançamento para ataques em outros lugares.⁴

A resposta já está sendo transformada em produto. Aravind Srinivas disse que créditos do Computer estavam sendo oferecidos para verificar a exposição de sites ao PHP, um exemplo de IA sendo direcionada tanto à limpeza quanto à descoberta.Aravind Srinivas (AravSrinivas)⁵ Ainda assim, o alerta mais profundo permanece: a OpenAI espera que descobertas semelhantes aumentem acentuadamente, enquanto o responsável por correções do PHP Ondřej Surý chamou isso de um “desastre prestes a acontecer” há muito tempo.⁶