Durante anos, a onipresença do PHP foi em grande parte invisível para as pessoas que navegavam na web. Então, pesquisadores assistidos por IA, trabalhando com ferramentas da OpenAI e do Google, descobriram falhas graves e antigas na linguagem de script, usada por cerca de 70% dos sites.¹

A descoberta transformou uma tarefa rotineira de software em uma emergência. Na semana passada, dois bugs críticos fizeram organizações correrem para corrigir os sistemas afetados; algumas tiraram sites do ar em vez de deixá-los expostos enquanto as correções eram preparadas.² A escala da resposta refletiu não apenas o alcance do PHP, mas também a inquietante possibilidade de que códigos antigos, amplamente implantados, possam conter vulnerabilidades que simplesmente passaram despercebidas.

Pesquisadores e a equipe do PHP trabalharam com a OpenAI, a Wiz e o grupo de pesquisa Calif para coordenar as correções. Mas o incidente também expôs os limites desse modelo. Tomer Schwartz, CTO de Gestão de Exposição e AppSec da Wiz, disse que a empresa “não poderia ter encontrado esses bugs sem IA”, depois que ferramentas personalizadas testaram dezenas de ideias possíveis durante um fim de semana.²

Essa velocidade é a tensão central. A IA pode dar aos defensores uma forma poderosa de inspecionar códigos antigos, mas também pode acelerar a descoberta — e potencialmente a exploração — de novas vulnerabilidades. Um dos bugs do PHP permaneceu “à vista de todos por mais de uma década” antes que mudanças nas condições o tornassem explorável, segundo o relato da resposta.²

Para operadores de sites, a mensagem imediata é menos futurista: aplique as correções prontamente e verifique se o software sob um site foi realmente atualizado. Para o setor de segurança, o alerta do PHP traz uma lição mais dura. A aplicação manual de correções não pode escalar se as máquinas começarem a encontrar falhas em toda a internet na velocidade das máquinas.¹