Veja por que a Wikipedia e grande parte da Internet foram fechadas hoje

Dois bugs encontrados na IA estão por trás de grandes problemas hoje para 4chan, DeviantArt, Wikipedia e o blog onde o bar da esquina posta fotos de cachorros de pessoas. As “vulnerabilidades críticas” foram descobertas na linguagem de programação PHP, que sustenta grande parte da Internet, incluindo qualquer site construído em WordPress. Mas é muito maior que isso. Algumas agências governamentais holandesas e finlandesas retiraram os seus sites do ar por precaução. A conta de segurança cibernética da NSA no X recomendou que as organizações colocassem seus sistemas off-line se “uma atualização imediata não fosse viável”, como fez o Centro Nacional de Segurança Cibernética do Reino Unido. Até Página inicial dos Pokémon e Campeões Pokémon foram colocados off-line, Minha cidade relatórios.

A vulnerabilidade não é exatamente nova. Ele está presente no PHP há cerca de 20 anos, mas explorá-lo “exigiu uma cadeia de etapas excepcionalmente complexa, no limite do que os pesquisadores humanos poderiam alcançar na prática”, segundo a empresa de segurança Wiz. No entanto, modelos poderosos de IA tornaram muito mais fácil transformar esse tipo de bug obscuro em vulnerabilidades perigosas.

Como um usuário casual da Internet, você deve estar se perguntando o que exatamente significa a enxurrada de jargões como “RCE via corrupção OOM”, quão preocupado você deveria estar e como exatamente uma vulnerabilidade tão grave passou despercebida pelo radar por tanto tempo.

W3Techs, um serviço de pesquisa, afirma que a linguagem de programação PHP é usada por “69,3% de todos os sites cuja linguagem de programação do lado do servidor conhecemos”, incluindo sites populares como Wikipedia e WordPress. O site de segurança da Internet VirusTotal afirma que seu scanner registra atualmente cerca de 3,8 milhões de sites rodando PHP com pelo menos uma porta aberta.

De acordo com a OpenAI, um grupo de segurança de IA chamado Calif identificou uma falha “crítica” de PHP usando GPT-5.6 Sol, e o Wiz, de propriedade do Google, descobriu e relatou de forma independente as vulnerabilidades usando IA. A PHP Foundation afirma que uma exploração para uma das vulnerabilidades “foi teorizada” em 2024, mas “nenhum vetor concreto foi encontrado e outras questões concretas com impacto claro ofuscaram essas preocupações”.

Agora, o Grupo PHP diz que os hackers podem usar as duas vulnerabilidades para “execução remota de código não autenticado”, como executar seu próprio código, alterar conteúdo e acessar os dados armazenados de um site sem a necessidade de login ou senha de administrador.

RCE via corrupção de OOM, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): o tratamento de falta de memória pode interromper o PHP enquanto os dados de solicitação interna são inicializados apenas parcialmente. A limpeza da solicitação pode então tratar os dados inválidos como válidos.

RCE por meio de estado global obsoleto, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): o estado interno de propriedade da solicitação pode sobreviver depois que sua memória de apoio for liberada. Uma solicitação posterior tratada pelo mesmo trabalhador pode usar esse estado obsoleto antes que a inicialização normal o redefina.

Muito. O Grupo PHP afirma que basicamente qualquer site que execute PHP está em risco. A OpenAI, que esteve envolvida na pesquisa de vulnerabilidades, disse: “Consideramos este um dos problemas de segurança mais impactantes da memória recente”. E Wiz disse que está “entre as vulnerabilidades mais graves descobertas… na história do software”.

Ontem à noite, o CTO da Cloudflare disse que estava “vendo o surgimento dos primeiros ataques”.

É difícil subestimar o quão ruim isso pode ficar. As vulnerabilidades podem permitir que um invasor assuma o controle total de um servidor. Isso inclui obter acesso a senhas, chaves de API, certificados criptográficos e bancos de dados de informações confidenciais. Eles também poderiam executar código nesses servidores, transformando-os em vetores para atacar outros servidores vulneráveis. E, graças à IA, é relativamente trivial para um hacker determinado explorar essas falhas agora que foram reveladas.

Como usuário, não muito. A vulnerabilidade afeta servidores que executam PHP e não necessariamente atinge diretamente os usuários, mas pode usar sites comprometidos para espalhar malware e roubar outros dados valiosos. Se você estiver se sentindo extremamente cauteloso, verifique as contas sociais dos sites e serviços que você usa com frequência para ver se eles postaram alguma atualização antes de visitá-los.

Se você tem um site, mesmo que seja um simples blog, é hora de verificar qual versão de PHP seu site usa, se houver. Se você estiver usando um serviço como Squarespace ou Wix, você está livre, pois eles não suportam PHP.

Os clientes da Hostinger, GoDaddy, Bluehost ou outros serviços de hospedagem na web devem ser mais cautelosos. GoDaddy diz que qualquer site que usa PHP deve assumir que foi afetado e atualizar para a versão corrigida o mais rápido possível. Ele também diz que os sites que executam o PHP 8.1 ou anterior devem atualizar para uma versão mais recente, pois não são mais suportados e não haverá uma correção oficial chegando.

Aqueles em um serviço de hospedagem gerenciada devem verificar com seu provedor quando devem esperar que a correção seja implantada. Se você vende produtos ou serviços ou possui quaisquer dados confidenciais em seus servidores, é melhor desabilitar seu site até que seu host corrija sua versão do PHP.