Duas falhas críticas no PHP, a linguagem de programação que roda em cerca de 70% dos sites, desencadearam uma corrida global por correções nesta semana depois que pesquisadores mostraram que os bugs podiam dar aos atacantes controle de servidores sem senha.
As falhas foram encontradas usando modelos da OpenAI, em parceria com as empresas de segurança Wiz e Calif. O grupo apelidou o conjunto de bugs de PHP2Shell. Uma das falhas estava na linguagem há 14 anos.
O que a falha permite
Atacantes podiam assumir servidores web afetados sem autenticação e ler memória que pode conter senhas e dados de sessão. Como o PHP sustenta WordPress, Drupal e uma longa lista de sites personalizados, a exposição alcança hospitais, varejistas e portais governamentais, não apenas empresas de tecnologia.
A Wiz comparou a gravidade ao Heartbleed, o bug de criptografia de 2014 que expôs dados em grande parte da web. Pesquisadores disseram que a falha é difícil o suficiente para estar no limite do que analistas humanos poderiam explorar, e fácil para um agente de IA que pode executar etapas de ataque sozinho.
Quem orientou as organizações a agir
A Agência de Segurança Nacional dos EUA e a agência de cibersegurança da União Europeia recomendaram correção imediata. Ambas disseram que sistemas que não podem ser atualizados rapidamente devem ser tirados do ar. Alguns sites de governos europeus fizeram exatamente isso, e partes de seus serviços públicos ficaram fora do ar por um dia.
O diretor de tecnologia da Cloudflare, Dane Knecht, disse que a empresa viu tentativas de ataque iniciais antes de a correção se tornar pública. A OpenAI lançou uma ferramenta que administradores podem executar para verificar se uma instalação está exposta.
Por que a divulgação foi apressada
Detalhes vazaram online nesta semana, forçando os mantenedores do PHP a publicar o aviso e a atualização antes do planejado. Isso encurtou a lacuna entre alerta e exploração, que é a lacuna da qual os defensores mais dependem.
O episódio tem dois lados. A IA encontrou um bug que anos de revisão humana deixaram passar, e a mesma capacidade pode ajudar atacantes a escrever exploits mais rápido. As equipes de segurança agora enfrentam um teste simples: corrigir ou desconectar.