No início de agosto, um pesquisador da Wiz pediu a um agente de IA que testasse se uma fraqueza do WordPress poderia se aplicar ao Drupal. O agente falhou nessa tarefa — mas revelou, em vez disso, uma falha no PHP que permanecia oculta havia muito tempo. A descoberta inicialmente gerou ceticismo porque “os modelos tendem a alucinar”, disse o pesquisador Sagi Tzadik, antes de o exploit se provar real.¹

Essa descoberta não foi isolada. A Calif, trabalhando com a OpenAI, havia encontrado uma falha relacionada, e os grupos se coordenaram com os mantenedores do PHP para rastrear os bugs e preparar uma correção. Para os defensores, foi uma vitória rara: a IA condensou o que Tzadik chamou de “meses de pesquisa tradicional” em dias ou horas.¹ Mas a mesma aceleração intensificou o perigo. Um especialista em cibersegurança alertou que a IA rompeu o antigo ciclo de resposta, permitindo que até atacantes pouco qualificados explorassem falhas graves em questão de minutos.²

Então a divulgação começou a se desfazer. Detalhes circularam online antes do lançamento planejado da correção; um vídeo que mostrava inadvertidamente um exploit aumentou a pressão. Quando as atualizações da PHP Foundation chegaram, a Cloudflare havia registrado milhares de tentativas de exploração antes da divulgação pública, depois dezenas de milhares em 45 minutos e milhões posteriormente.³

Governos e empresas responderam tirando serviços do ar enquanto aplicavam correções. A Grã-Bretanha derrubou 32 serviços governamentais por precaução; sites públicos finlandeses suspenderam tarefas rotineiras; portais holandeses de identidade digital e de comunicação ficaram indisponíveis. Para grandes instituições, um operador de pequena empresa chamou a interrupção de um “obstáculo”; para empresas menores, as interrupções chegaram a sete horas.³ Ferramentas e serviços surgiram rapidamente para ajudar administradores a avaliar a exposição, incluindo uma oferta de créditos para verificações de vulnerabilidades do PHP por Aravind Srinivas, da Perplexity.Aravind Srinivas (AravSrinivas)⁴

A catástrofe imediata, porém, não se concretizou por completo. Avaliações posteriores concluíram que, apesar de milhões de tentativas, os bugs do PHP eram excepcionalmente difíceis de explorar com sucesso.⁵ Isso ofereceu algum fôlego, não uma garantia de segurança. Como disse a chefe de inteligência de ameaças Samantha Lewis, a próxima crise “poderia acontecer daqui a três horas”.⁵