IA da OpenAI encontra falha no PHP com uma década e coordena a correção
Um par de graves falhas de segurança no PHP, a linguagem de script que alimenta uma enorme parte dos sites do mundo, forçou esta semana uma rara corrida global. Os bugs foram descobertos com a ajuda das ferramentas de IA da OpenAI e depois corrigidos em uma correria coordenada envolvendo mantenedores de software, empresas de segurança, provedores de nuvem e agências nacionais de cibersegurança, segundo a OpenAI e pesquisadores de segurança.
As duas vulnerabilidades, agrupadas sob o apelido PHP2Shell e rastreadas como CVE-2026-109618 e CVE-2026-109619, obtiveram ambas pontuação 9,2 de 10 na escala de gravidade CVSS v4.0. No pior caso, um atacante poderia executar código arbitrário em um servidor vulnerável, o que é praticamente o mais grave que existe em segurança web. Os relatos indicam que as falhas estavam latentes no código há mais de uma década.
A descoberta veio do programa Patch the Planet da OpenAI, uma iniciativa que une modelos de IA a pesquisadores de segurança para caçar fraquezas em softwares de código aberto amplamente utilizados. Diz-se que a empresa de segurança Calif e a firma de segurança em nuvem Wiz descobriram os problemas do PHP de forma independente com assistência de IA em agosto. O que se seguiu foi cerca de dois meses de trabalho silencioso para preparar as correções antes que alguém pudesse transformar os bugs em armas.
Esse plano foi interrompido quando detalhes vazaram em 20 de outubro, aparentemente antes da data de divulgação coordenada. O vazamento mergulhou as equipes de operações do PHP em uma longa noite, enquanto os administradores corriam para avaliar a exposição e aplicar mitigações. A PHP Foundation lançou os patches oficiais em 21 de outubro, e a OpenAI publicou seu relato de todo o esforço no mesmo dia.
A história importa muito além dos fóruns de desenvolvedores. O PHP sustenta sistemas de gerenciamento de conteúdo, fóruns e lojas online em toda a internet, e estimativas que circulam na mídia de tecnologia chinesa situam seu alcance em cerca de setenta por cento dos sites. Uma falha explorável remotamente nessa camada é um risco sistêmico, não de nicho, e é por isso que provedores de nuvem e órgãos governamentais de segurança se juntaram à resposta.
Para a OpenAI, o Patch the Planet é também uma declaração sobre como a IA pode mudar a pesquisa de vulnerabilidades. Encontrar bugs em escala tem sido tradicionalmente um trabalho lento e manual. Modelos de IA podem escanear enormes bases de código rapidamente, mas a parte mais difícil é a engrenagem humana que vem depois: verificar descobertas, escrever patches, avisar fornecedores e manter tudo em segredo até que os usuários possam atualizar. O episódio do PHP testou essa engrenagem sob a pressão de um vazamento.
O episódio também destaca uma tensão crescente. A descoberta assistida por IA significa que mais falhas surgirão mais rápido, e nem todo projeto tem os mantenedores ou recursos para responder em alta velocidade. As normas de divulgação coordenada, antes um canto tranquilo da indústria, estão se tornando um exercício de logística global envolvendo empresas e agências que raramente conversam entre si.
Para usuários e empresas comuns, o conselho prático permanece o mesmo: atualize as instalações do PHP e os softwares dependentes prontamente, e fique atento aos avisos dos fornecedores. Para a indústria, a lição pode ser que a IA agora faz parte da cadeia de suprimentos de segurança, e a corrida não é mais apenas encontrar bugs, mas corrigi-los antes que a internet descubra.