O alerta começou em agosto, quando pesquisadores de segurança usaram ferramentas avançadas de IA para investigar infraestruturas web antigas. Na Wiz, um agente de IA não conseguiu adaptar uma vulnerabilidade do WordPress ao Drupal — mas revelou outra falha no PHP. O pesquisador Sagi Tzadik inicialmente presumiu que o modelo estava errado: “Os modelos tendem a alucinar.” Ainda assim, o exploit funcionou, expondo uma vulnerabilidade que permanecera sem ser detectada por mais de uma década.¹

A descoberta trouxe uma ressalva importante em meio às alegações de um avanço obtido apenas com IA: pesquisadores humanos da Wiz e da Calif ainda tiveram de verificar, compreender e reportar responsavelmente os bugs. Um grupo de cerca de 15 pessoas então trabalhou entre empresas rivais e o projeto PHP para rastrear as falhas e preparar uma correção — um esforço que Tomer Schwartz, da Wiz, descreveu como “baseado apenas na confiança”.¹

O processo coordenado começou a se desgastar antes do lançamento planejado. Detalhes circularam on-line, e Dan Lorenc, CEO da Chainguard, divulgou informações antecipadamente, dizendo acreditar que a falha já estava sendo explorada; a PHP Foundation afirmou que a medida quebrou o embargo e desconsiderou semanas de coordenação.²

Na quarta-feira e na quinta-feira, as consequências eram visíveis de Helsinque a Nova York. Governos e empresas tiraram serviços temporariamente do ar enquanto aplicavam a correção da PHP Foundation. A Cloudflare afirmou ter observado milhares de tentativas de exploração antes da divulgação pública; em seguida, dezenas de milhares em 45 minutos, centenas de milhares em duas horas e, por fim, milhões.³

Para os defensores, o episódio foi ao mesmo tempo um quase desastre evitado e uma nova realidade operacional. Um especialista em cibersegurança alertou que a IA pode permitir que até atacantes com pouca qualificação explorem bugs críticos em minutos, tornando “quebrada” a sequência tradicional de avaliar a exposição, atribuir a remediação e aplicar correções.⁴ A resposta prática continua decididamente pouco glamourosa: identificar sistemas dependentes de PHP, escaneá-los e atualizá-los imediatamente — em vez de presumir que todo site vulnerável precisa sair do ar.

Empresas de IA e fabricantes de ferramentas já estão transformando o susto em automação defensiva. Aravind Srinivas disse que sua empresa estava oferecendo créditos para verificações de vulnerabilidades em PHP, incluindo uma ferramenta projetada para priorizar correções.Aravind Srinivas (AravSrinivas)⁵ Mas a tensão central permanece: a IA pode encontrar vulnerabilidades mais rapidamente para os mocinhos, ao mesmo tempo que garante que, quando um segredo vaza, os malfeitores possam correr com a mesma rapidez.