OpenAI ajudou a encontrar as falhas do PHP que agora abalam a Internet

A OpenAI afirma que seus modelos de IA ajudaram a descobrir as falhas críticas de segurança do PHP que fazem com que os sites na Internet estejam em confusão.

Em uma postagem no blog na quarta-feira, a empresa disse que passou os últimos dois meses liderando uma coalizão de mantenedores de PHP, pesquisadores de segurança e empresas de segurança para lidar com as vulnerabilidades, agora apelidadas de “PHP2SHELL”. Em sua própria postagem no blog de quarta-feira, a fundação PHP agradeceu à OpenAI, entre outros parceiros da indústria e pesquisadores de segurança cibernética.

As falhas recentemente expostas podem permitir que invasores assumam o controle de servidores que executam PHP, a linguagem de programação por trás de grande parte da web. A OpenAI classificou os bugs como um dos problemas de segurança mais impactantes da memória recente.

De acordo com a OpenAI, a empresa de segurança Calif encontrou uma das falhas críticas ao usar o modelo GPT-5.6 Sol da empresa como parte do Patch the Planet, um programa de segurança OpenAI. A empresa de segurança Wiz também descobriu e relatou ambas as vulnerabilidades por conta própria, disse OpenAI. Os mantenedores do PHP lideraram o trabalho nas correções. OpenAI, Wiz, Cloudflare e outros parceiros contribuíram com pesquisas e ajudaram a preparar proteções antes que as falhas se tornassem públicas.

O presidente da OpenAI, Greg Brockman, adicionou mais detalhes em uma postagem no X. Ele disse que PHP foi a primeira linguagem de programação que aprendeu, o que lhe deu uma conexão pessoal com o trabalho.

Este Tweet não está disponível no momento. Pode estar carregando ou foi removido.

Segundo Brockman, o bug já existia no PHP há 14 anos. Uma versão menor foi encontrada em 2024, mas não foi tratada como grave na época. A Califórnia encontrou uma versão do bug em agosto, e a própria equipe da OpenAI encontrou de forma independente uma versão mais completa em setembro.

A coalizão planejava divulgar as falhas em 22 de outubro, disse Brockman, mas os detalhes vazaram antes e os mantenedores do PHP divulgaram as correções um dia antes. Ele disse que os dois meses de preparação ainda eram importantes, porque os reparos eram complicados e um vazamento anterior poderia ter causado muito mais danos.

A OpenAI disse que também trabalhou com agências governamentais dos EUA na resposta, incluindo a Força de Super Inteligência da Casa Branca, o Gabinete do Diretor Nacional Cibernético e a Agência de Segurança Cibernética e de Infraestrutura.

Este Tweet não está disponível no momento. Pode estar carregando ou foi removido.

OpenAI diz que PHP não será o último caso desse tipo. A empresa disse que já encontrou várias outras vulnerabilidades graves e espera que descobertas semelhantes aumentem acentuadamente nos próximos meses. Brockman apontou para uma falha separada de execução remota de código que o Node.js, outra tecnologia web amplamente utilizada, divulgou na quarta-feira.

Este ano, novos modelos de IA como GPT-5.6-Sol e Claude Mythos levaram a um rápido aumento nas descobertas de bugs, forçando o encerramento total de algumas iniciativas de bugs de dia zero, como Mashable relatou anteriormente.

Quer saber mais sobre como tirar o melhor proveito da sua tecnologia? Inscreva-se nos boletins informativos de notícias e ofertas principais do Mashable ou receba alertas push do Mashable hoje.

Brockman escreveu que a maneira atual de lidar com bugs como esses é “lenta e manual” e não será escalonada à medida que a IA melhorar em encontrá-los. A OpenAI agora está pedindo feedback da comunidade de segurança sobre um novo processo para coordenar divulgações. Uma ideia que circula é fazer com que governos ou outros defensores autorizados escaneiem constantemente a Internet em busca de sistemas vulneráveis. Eles avisariam os proprietários de sites quando encontrassem um e, em casos extremos, corrigiriam eles próprios os sistemas.

A OpenAI também reconhece o risco em seu discurso. Os mesmos recursos de IA que ajudaram a encontrar esses bugs podem ajudar os invasores a criar explorações com mais rapidez. Para colocar mais dessas ferramentas nas mãos dos defensores, a empresa afirma que comprometeu mil milhões de dólares para o acesso subsidiado às suas ferramentas de segurança para organizações que protegem serviços essenciais. Também está lançando uma ferramenta que ajuda os operadores de sites a verificar se estão executando uma versão vulnerável do PHP.

Enquanto isso, a internet está tendo uma semana

A confusão de patches tem sido muito visível. A Wikipedia caiu na manhã de quarta-feira, e a Wikimedia Foundation confirmou ao Mashable que a interrupção estava ligada às vulnerabilidades do PHP. A fundação disse que colocou outros sistemas off-line por precaução até que pudessem ser corrigidos com segurança.

Outros sites populares também ficaram fora do ar ou publicaram avisos de manutenção. De acordo com o Downdetector, os sites que estão tendo problemas em meio aos problemas de PHP incluem Asana, GOG, Duolingo, Capital One, Bitbucket, Moodle, Quest Diagnostics, Final Fantasy XIV, Trovão de Guerrae o Arquivo da Internet. A maioria não disse se seus problemas estão ligados ao PHP, mas, novamente, a linguagem de programação corre grande parte da internet.

Mesmo fora da resposta do braço de cibersegurança do governo dos EUA, outros líderes mundiais também estão a envolver-se. O primeiro-ministro do Japão fez um apelo público incomum ao X, instando qualquer pessoa que tenha um site a agir naquela noite, de acordo com uma tradução da postagem em japonês.

Este Tweet não está disponível no momento. Pode estar carregando ou foi removido.

O PM pediu aos proprietários de sites que verificassem se seus sites públicos usam PHP e instalassem a correção assim que ela fosse lançada às 23h, horário do Japão, em 21 de outubro, que corresponde ao lançamento do PHP às 10h ET.

Para a maioria das pessoas, o impacto deve ser limitado à indisponibilidade temporária de alguns sites. Usuários regulares não precisam instalar nada, já que a correção fica por conta das empresas que administram os sites.

Divulgação: Ziff Davis, empresa controladora da Mashable, em abril de 2025 entrou com uma ação contra a OpenAI, alegando que ela infringiu os direitos autorais de Ziff Davis no treinamento e operação de seus sistemas de IA.