Notícia
27 de out de 2026
A IA encontrou o PHP2Shell primeiro — depois a internet teve horas para acompanhar
O episódio do PHP2Shell ofereceu uma rara vitória defensiva para pesquisadores de IA, que encontraram uma falha perigosa antes que ocorressem danos generalizados. Mas o vazamento antes de as correções estarem plenamente disponíveis mostrou por que equipes de segurança, governos e empresas menores veem a mesma tecnologia como uma força que está comprimindo cada janela de resposta.
Em agosto, pesquisadores da Calif, trabalhando com a OpenAI, e a Wiz, do Google, usaram de forma independente sistemas avançados de IA para descobrir falhas relacionadas no PHP, a linguagem da web que se estima sustentar cerca de 70% dos sites. Na Wiz, um agente de IA encontrou a vulnerabilidade no PHP enquanto testava se um problema no WordPress poderia afetar o Drupal — um aparente erro que acabou sendo real. “Os modelos tendem a alucinar”, disse o pesquisador Sagi Tzadik, mas este havia exposto um bug que tinha sobrevivido por mais de uma década.1
As equipes relataram os defeitos e se uniram aos mantenedores do PHP em um esforço coordenado para desenvolver uma correção. O trabalho foi incomumente colaborativo: cerca de 15 pesquisadores de organizações concorrentes trocaram descobertas quase todos os dias, disse Tomer Schwartz, da Wiz, em um processo “baseado apenas na confiança”.1 A conquista deles também trouxe seu próprio alerta: a IA pode comprimir meses de pesquisa de vulnerabilidades em dias ou até horas, proporcionando aos atacantes a mesma aceleração assim que os detalhes se tornam públicos.
Essa pressão chegou antes do lançamento planejado. A notícia das vulnerabilidades se espalhou online, forçando os mantenedores do PHP a antecipar a correção. Um vídeo da Calif demonstrando inadvertidamente o exploit ajudou então a estimular atividades de imitadores. A Cloudflare registrou milhares de tentativas de exploração antes da divulgação; em 45 minutos, a contagem tinha chegado a dezenas de milhares, depois a centenas de milhares em duas horas e, por fim, a milhões.2
Na quarta e na quinta-feira, governos e empresas de Helsinque a Nova York estavam tirando serviços do ar enquanto aplicavam atualizações. A Grã-Bretanha afirmou que 32 serviços governamentais foram interrompidos por precaução, enquanto a disrupção na Finlândia atingiu tarefas cotidianas. “Pode-se dizer que grande parte da estrutura foi rasgada”, disse o desenvolvedor de Helsinque Kalle Pusa sobre a dependência de serviços públicos online.3
A resposta defensiva rapidamente se tornou comercial e prática: o diretor-executivo da Perplexity, Aravind Srinivas, disse que sua empresa estava oferecendo créditos para verificações que identificassem sites PHP expostos e priorizassem reparos.
4 Ainda assim, profissionais de segurança argumentam que apenas aplicar correções não consegue acompanhar o ritmo. Um especialista alertou que a IA permite até mesmo que atacantes com pouca habilidade explorem falhas graves “em minutos”, rompendo o ciclo tradicional de remediação.5
A divisão é mais acentuada para organizações menores. O ex-funcionário cibernético dos EUA Chris Krebs instou empresas a fazer varreduras contínuas, corrigir rapidamente ou tirar sistemas legados do ar; grandes empresas podem ter ferramentas avançadas, mas negócios menores podem ter dificuldade para responder.6 O PHP2Shell foi contido antes de uma catástrofe — mas tornou mais fácil imaginar a próxima corrida.