Pesquisadores da Calif usaram um modelo avançado da OpenAI em agosto para descobrir uma falha profunda no PHP, a linguagem web que se estima rodar em cerca de 70% dos sites. O bug, posteriormente apelidado de PHP2Shell, poderia permitir que um atacante executasse comandos em um servidor sem correção e tomasse seus dados ou controles.¹

A descoberta inicialmente seguiu o protocolo estabelecido: relatar de forma privada, preparar uma correção e então divulgar. Mas esse cronograma se rompeu quando detalhes circularam antes do lançamento planejado pela PHP Foundation. A fundação afirmou que a Chainguard havia “quebrado unilateralmente o embargo”; o CEO da Chainguard, Dan Lorenc, disse mais tarde que agiu porque acreditava que a falha já estava sendo explorada.²

Na quarta-feira, o risco teórico havia se tornado uma emergência operacional. A PHP Foundation lançou uma correção, enquanto governos e empresas tiraram serviços do ar em vez de arriscar a exposição. A Grã-Bretanha suspendeu 32 serviços governamentais por precaução; portais públicos na Finlândia e nos Países Baixos ficaram fora do ar, e o primeiro-ministro do Japão pediu que as empresas fizessem o mesmo.³

A pressão veio da velocidade do tráfego de ataques. A Cloudflare registrou milhares de tentativas de exploração antes da divulgação pública, depois dezenas de milhares em 45 minutos, centenas de milhares em duas horas e, por fim, milhões. Eram tentativas — não prova de violações em massa bem-sucedidas —, mas fizeram qualquer demora parecer perigosa.⁴ Aravind Srinivas, por sua vez, promoveu créditos gratuitos para uma ferramenta que verifica a exposição de sites PHP e configurações de implantação, um sinal da rápida resposta do mercado em torno da remediação.Aravind Srinivas (AravSrinivas)⁵

Para as equipes de segurança, o incidente evidenciou a contradição central. A IA ajudou a revelar uma falha que existia no código central do PHP havia mais de uma década; as mesmas ferramentas podem ajudar atacantes a encontrar alvos e automatizar a exploração. Um especialista em cibersegurança alertou que a antiga sequência — delimitar a exposição, elaborar um plano, atribuir a correção — está "quebrada" quando atacantes pouco qualificados conseguem agir em minutos.⁶

O consenso prático é menos dramático: identificar sistemas expostos, instalar a atualização do PHP e isolar sistemas que não possam ser corrigidos imediatamente. Como disse Matthijs van Amelsfort, da agência cibernética holandesa, a recomendação imediata é simplesmente "corrigir, corrigir e corrigir".²