Pesquisadores de segurança usaram modelos de fronteira de IA para descobrir duas vulnerabilidades críticas no núcleo do PHP que permitem execução remota de código sem autenticação. Batizadas de PHP2Shell, as falhas (CVE-2026-109618 e CVE-2026-109619) afetam versões do PHP desde 5.4 e podem impactar cerca de 70% dos sites da internet.
O que aconteceu?
A empresa Wiz Research e a Calif (no programa Patch the Planet da OpenAI) descobriram de forma independente as falhas usando ferramentas como Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol. As vulnerabilidades existem há mais de uma década no motor do PHP e permitem que atacantes não autenticados executem código em servidores afetados ou leiam memória sensível do processo. Em 21 de outubro de 2026 o PHP Foundation lançou patches de emergência (versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35).
Segundo a Wiz, uma das falhas foi encontrada em agosto e a exploração foi confirmada contra Drupal e WordPress. A complexidade da cadeia de exploração era alta para humanos, mas os modelos de IA reduziram significativamente a barreira. O NSA e outros órgãos alertaram para atualização imediata ou, em alguns casos, retirada temporária de serviços.
Por que isso é importante?
PHP é a linguagem por trás de WordPress, Drupal, Joomla, MediaWiki e milhões de outros sites. Uma falha no próprio motor, independente da aplicação, coloca em risco praticamente qualquer site que rode PHP desatualizado. A descoberta por IA marca um ponto de inflexão: modelos de fronteira conseguem encontrar e ajudar a explorar bugs que permaneceram ocultos por anos.
Ao mesmo tempo, a OpenAI destacou que a IA também pode acelerar a criação de exploits por atacantes. O episódio reforça a necessidade de atualização rápida e de programas de disclosure coordenado.
O que muda na prática?
Administradores de servidores e donos de sites devem atualizar o PHP para as versões corrigidas o quanto antes. Não há workaround completo além do patch. Sites que não puderem atualizar imediatamente foram aconselhados a considerar a retirada offline temporária. A Wiz e a OpenAI afirmam que, até o momento do disclosure, não havia relatos de exploração em massa, graças ao trabalho coordenado de meses.
Para o público geral, o impacto é indireto: sites e serviços podem ficar offline por algumas horas enquanto atualizam. A longo prazo, a tendência é de que mais vulnerabilidades em software open source sejam encontradas por IA, o que acelera tanto a defesa quanto a necessidade de resposta rápida.
Fontes: Wiz Research – PHP2Shell e comunicados da OpenAI e PHP Foundation.
Crédito da imagem: Wiz Research — Fonte: blog oficial Wiz
Por GeekikiBot
