Ferramentas de inteligência artificial (IA) ajudaram pesquisadores a descobrir como explorar falhas de segurança presentes no PHP há mais de uma década. As vulnerabilidades, que podem permitir invasões de servidores, provocaram um alerta mundial nesta quarta-feira (21) e levaram governos e empresas a retirar sites do ar preventivamente.
As descobertas envolveram pesquisadores das empresas de segurança Wiz e Calif, que utilizaram modelos do Google e da OpenAI para identificar os problemas e demonstrar possíveis ataques.
Segundo a Wiz, as ferramentas de IA ajudaram a executar em aproximadamente uma semana uma investigação que poderia exigir meses de trabalho de especialistas.
O PHP é uma das linguagens de programação mais utilizadas na internet e está presente em plataformas como WordPress, Drupal e Joomla. Segundo a W3Techs, 69,3% dos sites cuja linguagem de servidor é conhecida utilizam essa tecnologia.
As falhas já foram corrigidas pelos desenvolvedores do PHP, mas os administradores precisam instalar as atualizações para proteger seus servidores.
Como a IA encontrou as falhas no PHP?
A investigação envolveu três ferramentas principais: o Wiz Atlas, plataforma de pesquisa de segurança com IA, o Gemini 4 Argon, do Google, e o GPT-5.6 Sol, da OpenAI.
Os pesquisadores utilizaram esses sistemas para analisar o funcionamento interno do PHP e investigar problemas relacionados ao gerenciamento de memória.
Em determinadas situações, o programa poderia continuar utilizando informações de memória que já deveriam ter sido descartadas. Criminosos poderiam explorar esse comportamento para executar comandos maliciosos em servidores, dependendo das condições do sistema.
Segundo a Wiz, a dificuldade estava em combinar diferentes problemas e adaptar os ataques às configurações de cada servidor.
Com o auxílio da IA, os pesquisadores conseguiram acelerar testes, analisar resultados e modificar suas técnicas até demonstrar ataques contra instalações de WordPress, Drupal e Joomla.
A empresa afirma que o Gemini 4 Argon teve participação importante na identificação das vulnerabilidades, no desenvolvimento dos testes e na validação das correções.
A descoberta também envolveu a Calif, que utilizou o GPT-5.6 Sol para identificar independentemente um dos problemas, dentro de uma iniciativa coordenada pela OpenAI.
:quality(85)/57be5b87-24fb-4c17-853e-b66460064cc3.png "Editar informações da imagem")
Por que não soubemos das falhas antes?
Embora as vulnerabilidades tenham sido divulgadas nesta quarta-feira (21), os primeiros sinais de um dos problemas foram identificados em 2024.
Na ocasião, uma auditoria de segurança realizada pela Quarkslab levou um desenvolvedor do PHP a encontrar indícios de falhas no gerenciamento de memória.
Entretanto, a equipe ainda não havia encontrado uma maneira concreta de explorar o problema para invadir servidores.
Segundo a PHP Foundation, diferentes soluções foram discutidas, mas apresentavam riscos de incompatibilidade, perda de desempenho ou problemas para outras ferramentas desenvolvidas com PHP.
As dificuldades, somadas à quantidade limitada de profissionais disponíveis, atrasaram a correção. A própria fundação reconheceu que houve uma falha na organização do processo.
A situação mudou em agosto de 2026.
No dia 11, pesquisadores da Calif e da OpenAI demonstraram formas de explorar o problema. Já em 19 de agosto, a Wiz identificou vulnerabilidades com auxílio de IA e, nos dias seguintes, comprovou ataques contra WordPress e Drupal.
A empresa comunicou suas descobertas à equipe do PHP em 24 de agosto.
Mesmo com a gravidade confirmada, os detalhes foram mantidos em sigilo para permitir que os desenvolvedores preparassem as correções antes que criminosos pudessem utilizar as informações.
A divulgação estava prevista inicialmente para 22 de outubro, mas foi antecipada após informações sobre as vulnerabilidades começarem a circular nas redes sociais no dia 20.
Foi a Wiz que corrigiu o problema? As falhas já foram resolvidas?
A correção foi desenvolvida e publicada pelos responsáveis pelo PHP, com apoio de pesquisadores e empresas de tecnologia.
Além da Wiz, organizações como OpenAI, Calif, Cloudflare e Google participaram das investigações, dos testes ou da preparação de medidas de proteção.
Nesta quarta-feira (21), foram disponibilizadas quatro versões corrigidas da linguagem:
-
PHP 8.5.12;
-
PHP 8.4.27;
-
PHP 8.3.36;
-
PHP 8.2.35.
As atualizações resolvem as duas vulnerabilidades identificadas como CVE-2026-109618 e CVE-2026-109619, que receberam nota 9,2 de 10 em gravidade.
Entretanto, os sites que continuam utilizando versões vulneráveis ainda podem sofrer ataques.
O alerta também se aplica a plataformas como WordPress: atualizar apenas o sistema de gerenciamento de conteúdo ou seus plugins não corrige uma vulnerabilidade presente no próprio PHP.
A equipe responsável pela linguagem recomenda que administradores atualizem seus servidores imediatamente.
A descoberta também preocupa especialistas por outro motivo. As mesmas ferramentas de IA que ajudaram os pesquisadores a identificar as vulnerabilidades podem ser utilizadas por criminosos para acelerar o desenvolvimento de ataques contra servidores que ainda não receberam as correções.
Veja também: Prompt de menos de 100 caracteres fez agentes de IA invadirem mais de 100 empresas
{{WHATSAPP_CHANNEL}}