IA revela falhas escondidas há mais de 10 anos no PHP; entenda a descoberta
Ferramentas de inteligência artificial (IA) ajudaram pesquisadores a descobrir como explorar falhas de segurança presentes no PHP há mais de uma década. As vulnerabilidades, que podem permitir invasões de servidores, provocaram um alerta mundial nesta quarta-feira (21) e levaram governos e empresas a retirar sites do ar preventivamente.
As descobertas envolveram pesquisadores das empresas de segurança Wiz e Calif, que utilizaram modelos do Google e da OpenAI para identificar os problemas e demonstrar possíveis ataques.
Segundo a Wiz, as ferramentas de IA ajudaram a executar em aproximadamente uma semana uma investigação que poderia exigir meses de trabalho de especialistas.
O PHP é uma das linguagens de programação mais utilizadas na internet e está presente em plataformas como WordPress, Drupal e Joomla. Segundo a W3Techs, 69,3% dos sites cuja linguagem de servidor é conhecida utilizam essa tecnologia.
As falhas já foram corrigidas pelos desenvolvedores do PHP, mas os administradores precisam instalar as atualizações para proteger seus servidores.
Como a IA encontrou as falhas no PHP?
A investigação envolveu três ferramentas principais: o Wiz Atlas, plataforma de pesquisa de segurança com IA, o Gemini 4 Argon, do Google, e o GPT-5.6 Sol, da OpenAI.
Os pesquisadores utilizaram esses sistemas para analisar o funcionamento interno do PHP e investigar problemas relacionados ao gerenciamento de memória.
Em determinadas situações, o programa poderia continuar utilizando informações de memória que já deveriam ter sido descartadas. Criminosos poderiam explorar esse comportamento para executar comandos maliciosos em servidores, dependendo das condições do sistema.
Segundo a Wiz, a dificuldade estava em combinar diferentes problemas e adaptar os ataques às configurações de cada servidor.
Com o auxílio da IA, os pesquisadores conseguiram acelerar testes, analisar resultados e modificar suas técnicas até demonstrar ataques contra instalações de WordPress, Drupal e Joomla.
A empresa afirma que o Gemini 4 Argon teve participação importante na identificação das vulnerabilidades, no desenvolvimento dos testes e na validação das correções.
A descoberta também envolveu a Calif, que utilizou o GPT-5.6 Sol para identificar independentemente um dos problemas, dentro de uma iniciativa coordenada pela OpenAI.
:quality(85)/57be5b87-24fb-4c17-853e-b66460064cc3.png)
Por que não soubemos das falhas antes?
Embora as vulnerabilidades tenham sido divulgadas nesta quarta-feira (21), os primeiros sinais de um dos problemas foram identificados em 2024.
Na ocasião, uma auditoria de segurança realizada pela Quarkslab levou um desenvolvedor do PHP a encontrar indícios de falhas no gerenciamento de memória.
Entretanto, a equipe ainda não havia encontrado uma maneira concreta de explorar o problema para invadir servidores.
Segundo a PHP Foundation, diferentes soluções foram discutidas, mas apresentavam riscos de incompatibilidade, perda de desempenho ou problemas para outras ferramentas desenvolvidas com PHP.
As dificuldades, somadas à quantidade limitada de profissionais disponíveis, atrasaram a correção. A própria fundação reconheceu que houve uma falha na organização do processo.
A situação mudou em agosto de 2026.
No dia 11, pesquisadores da Calif e da OpenAI demonstraram formas de explorar o problema. Já em 19 de agosto, a Wiz identificou vulnerabilidades com auxílio de IA e, nos dias seguintes, comprovou ataques contra WordPress e Drupal.
A empresa comunicou suas descobertas à equipe do PHP em 24 de agosto.
Mesmo com a gravidade confirmada, os detalhes foram mantidos em sigilo para permitir que os desenvolvedores preparassem as correções antes que criminosos pudessem utilizar as informações.
A divulgação estava prevista inicialmente para 22 de outubro, mas foi antecipada após informações sobre as vulnerabilidades começarem a circular nas redes sociais no dia 20.
Foi a Wiz que corrigiu o problema? As falhas já foram resolvidas?
A correção foi desenvolvida e publicada pelos responsáveis pelo PHP, com apoio de pesquisadores e empresas de tecnologia.
Além da Wiz, organizações como OpenAI, Calif, Cloudflare e Google participaram das investigações, dos testes ou da preparação de medidas de proteção.
Nesta quarta-feira (21), foram disponibilizadas quatro versões corrigidas da linguagem:
-
PHP 8.5.12;
-
PHP 8.4.27;
-
PHP 8.3.36;
-
PHP 8.2.35.
As atualizações resolvem as duas vulnerabilidades identificadas como CVE-2026-109618 e CVE-2026-109619, que receberam nota 9,2 de 10 em gravidade.
Entretanto, os sites que continuam utilizando versões vulneráveis ainda podem sofrer ataques.
O alerta também se aplica a plataformas como WordPress: atualizar apenas o sistema de gerenciamento de conteúdo ou seus plugins não corrige uma vulnerabilidade presente no próprio PHP.
A equipe responsável pela linguagem recomenda que administradores atualizem seus servidores imediatamente.
A descoberta também preocupa especialistas por outro motivo. As mesmas ferramentas de IA que ajudaram os pesquisadores a identificar as vulnerabilidades podem ser utilizadas por criminosos para acelerar o desenvolvimento de ataques contra servidores que ainda não receberam as correções.
Veja também: Prompt de menos de 100 caracteres fez agentes de IA invadirem mais de 100 empresas
{{WHATSAPP_CHANNEL}}
:quality(85)/8fe3e9ce-6aad-4df9-b125-3985a2e8d891.jpeg)
:quality(85)/e145112c-ca39-45fe-abca-b6d24b02358b.jpeg)
:quality(85)/e6aafbc9-2f32-4d3a-91a5-b84e565ff367.jpeg)
:quality(85)/caa8a3cf-d93a-4219-97e9-403e17c87023.jpeg)
:quality(85)/954cc376-1190-4226-a418-e4b9de0770a9.png)
:quality(85)/623bcdd8-1ae6-4eaa-9a71-e6c477d11014.png)
:quality(85)/93704ac8-b9ae-4de0-aab0-4ceebef03fdb.png)
:quality(85)/6cb0f3ef-067e-4236-8af0-01dc71638b60.jpg)
:quality(85)/34165e29-c179-4c76-95f3-9827be8dbc4b.webp)
:quality(85)/59387543-0d65-43ba-8d5c-4ea698e2df86.png)
:quality(85)/7ad75e1c-ce7c-4695-bcf0-59b4f890a00d.jpg)
:quality(85)/900a5064-89f0-45a4-99f1-83ce954bcd50.png)
:quality(85)/8978ccb1-6fe4-4620-ab60-9a6c1cec4fa6.jpg)
:quality(85)/bab54c31-5110-4086-8d39-3101cd66b0ef.png)
:quality(85)/b986c792-d708-4eed-bc44-8ad82a655760.png)
:quality(85)/24fb4301-6e22-4d06-a949-5eff341bb077.png)
:quality(85)/dacab751-932a-440d-8642-ec7c87b562e0.png)
:quality(85)/1106f759-12a1-475a-bc23-9f905aeab566.png)
:quality(85)/9ae230e6-b486-44ba-80ea-177cdd539bb2.jpg)