PHP armageddon: OpenAI, Wiz do Google encontra buracos antigos, deixando a internet em pânico

A Agência de Segurança Nacional dos EUA enviou um alerta alarmante na quarta-feira de que duas falhas críticas foram encontradas no PHP, com patches já emitidos pela PHP Foundation.

PHP é uma linguagem de programação do lado do servidor tão amplamente utilizada para aplicações web que alimenta cerca de 70% dos sites na internet; segundo alguns relatos, são mais de 33 milhões de sites. Também é usado por sistemas populares de gerenciamento de conteúdo como o WordPress.

A NSA alertou que essas falhas são tão graves que, se um site não puder ser corrigido imediatamente, ele deverá ser retirado da web até que possa ser corrigido. As falhas permitem que invasores se infiltrem no sistema de arquivos do servidor ou em um banco de dados que pode ser usado pelo aplicativo da web.

Curiosamente, essas lacunas foram ocultadas em todas as versões do PHP desde a versão 5, lançada em 2004. Sites que não executam versões relativamente atuais do PHP terão que fazer algum trabalho de atualização, já que o PHP 8.1 e versões anteriores não são mais suportadas. A recomendação é atualizar o servidor web para a versão atual do PHP, que é 8.5.12.

Então, como duas falhas tão onipresentes e de décadas que afetam quase todos os sites da Internet vieram à tona de repente? IA, naturalmente, especialmente via OpenAI e Wiz do Google.

A empresa de testes de segurança Calif estava envolvida na iniciativa “Patch the Planet” da OpenAI para encontrar falhas em software de código aberto. Usando o GPT‑5.6 Sol, ele encontrou uma das falhas, divulgada pela OpenAI em uma postagem no blog. Separadamente, a equipe Wiz também usou IA, ou seja, seu agente de segurança AI Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol para encontrar múltiplas vulnerabilidades em PHP.

Tanto a OpenAI quanto a Wiz seguiram práticas responsáveis ​​de pesquisa de segurança e trabalharam com PHP em patches antes de divulgar publicamente as falhas. Depois, todos trabalharam juntos para concretizar o que encontraram e testar os patches, atraindo uma série de outras pessoas para ajudar.

Wiz agradeceu à Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft e Vercel. (Embora os sites WordPress usem PHP, o WordPress emitiu uma declaração dizendo que a falha não é específica do WordPress, e os sites que executam seu CMS devem corrigir seus servidores e trabalhar com suas empresas de hospedagem na web para garantir que seus sites estejam protegidos.)

A OpenAI afirma que essas falhas foram encontradas pelos pesquisadores antes que os hackers as descobrissem. Portanto, não houve relatos de explorações na natureza. Isto também ocorre em parte porque, antes da IA, essas falhas eram muito difíceis de serem exploradas pelos hackers. “Com a IA isso não é mais uma barreira. Os LLMs podem ajudar a adaptar um exploit a diferentes versões, configurações e layouts de memória do PHP”, alertou Wiz em seu blog sobre as falhas.

Por outras palavras, este é o tipo de problema de segurança que foi encontrado e evitado por causa da IA, mas que também representa um risco elevado apenas por causa da IA.

Agora que o problema foi divulgado, os hackers estão totalmente informados. Começou a corrida para que a Internet corrija dezenas de milhões de sites antes que os hackers possam atacar os que não foram corrigidos. Daí a orientação da NSA de que, se você não conseguir corrigir seu site PHP imediatamente, é melhor colocá-lo off-line até que possa.