Em agosto, pesquisadores da Calif e da Wiz, do Google, usaram modelos avançados de IA para descobrir falhas relacionadas no PHP, a linguagem com décadas de existência que, estima-se, sustenta cerca de 70% dos sites. Os bugs poderiam permitir execução remota de código sem autenticação — efetivamente dando a um invasor controle por linha de comando de um servidor sem correção.¹

Para os defensores, a descoberta foi uma vitória apertada. O pesquisador da Wiz Sagi Tzadik inicialmente duvidou da descoberta da IA porque “os modelos tendem a alucinar”, mas o exploit funcionou. Ele argumentou que a IA está acelerando a descoberta de vulnerabilidades: “meses de pesquisa tradicional condensados em, tipo, dias”.² Ainda assim, essa mesma aceleração intensificou o perigo quando as descobertas escaparam da contenção.

Em meados de outubro, detalhes começaram a circular antes do lançamento planejado da correção. Um vídeo de prova de conceito foi publicado brevemente, a PHP Foundation antecipou seu lançamento e os atacantes começaram a sondar. A Cloudflare registrou milhares de tentativas antes da divulgação, depois dezenas de milhares em 45 minutos, centenas de milhares em duas horas e, por fim, milhões.³

Isso provocou uma resposta preventiva extraordinária na quarta-feira e na quinta-feira. Governos e empresas, da Finlândia ao Japão, tiraram sites do ar enquanto instalavam correções; a Grã-Bretanha disse que 32 serviços públicos ficaram temporariamente indisponíveis. Para operadores de sistemas legados, a escolha era clara: corrigir imediatamente ou desconectar. O chefe cibernético holandês Matthijs van Amelsfort resumiu a solução em três palavras: “corrigir, corrigir e corrigir”.⁴

O risco para o público era mais limitado do que o alarme sugeria: simplesmente visitar um site vulnerável em PHP não infectava o dispositivo do usuário. Mas um servidor comprometido poderia expor dados, alterar sites ou se tornar uma plataforma de lançamento para redes mais amplas. Avaliações iniciais encontraram principalmente varreduras e exploits malsucedidos, enquanto uma repostagem posterior no X, citando atividade em honeypots, afirmou que a exploração havia sido observada em ambiente real, com atacantes emitindo comandos de shell para buscar cargas maliciosas.Aravind Srinivas (AravSrinivas)⁵

O episódio não se transformou em uma catástrofe em toda a web porque uma correção estava pronta. Também expôs o novo desequilíbrio da era da IA: os defensores podem encontrar mais falhas primeiro, mas cada vazamento transforma a divulgação coordenada em uma contagem regressiva.