Em 21 de outubro de 2026, a fundação PHP liberou patches de emergência para duas vulnerabilidades críticas no núcleo da linguagem, apelidadas coletivamente de PHP2Shell. As falhas, rastreadas como CVE-2026-109618 e CVE-2026-109619, ambas com pontuação CVSS v4 de 9.2, permitem execução remota de código (RCE) sem autenticação e vazamento de memória do processo.
O PHP é a linguagem por trás de cerca de 70% dos sites da internet, incluindo WordPress, Drupal, Joomla, MediaWiki (da Wikipedia) e muitos outros sistemas. As vulnerabilidades estão no motor da linguagem, não no código das aplicações. Isso significa que até um simples “Hello World” em uma versão afetada pode ser explorado.
Como a IA ajudou a encontrar o problema
As falhas existiam há mais de uma década — algumas desde o PHP 5.4, de 2012 —, mas a cadeia de exploração era complexa demais para pesquisadores humanos. Modelos de fronteira reduziram essa barreira.
A empresa de segurança Calif, no programa “Patch the Planet” da OpenAI, usou o GPT-5.6 Sol para identificar uma das falhas em agosto. Independentemente, a Wiz (do Google) encontrou ambas usando Wiz Atlas, Gemini 4 Argon e o mesmo GPT-5.6 Sol. A Wiz confirmou RCE não autenticado contra WordPress e Drupal.
A OpenAI coordenou o processo de divulgação junto à fundação PHP, Cloudflare e outros parceiros. Segundo as empresas, a IA encontrou os problemas antes de atacantes.
O que os patches corrigem
As versões corrigidas são:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Versões mais antigas (8.1 e anteriores) não recebem mais suporte oficial, embora a fundação tenha disponibilizado backports mínimos de código para 7.4, 8.0 e 8.1. A recomendação é atualizar imediatamente. Mitigações temporárias, como desabilitar session.upload_progress ou ajustar limites de memória, reduzem alguns caminhos de ataque, mas não eliminam o risco.
O risco é considerado maior em instalações com Apache mod_php. As falhas envolvem corrupção de estado durante condições de falta de memória (OOM) e estado global residual entre requisições em workers do PHP-FPM.
Por que isso importa
Este é um dos exemplos mais claros até agora de como modelos de IA de fronteira estão mudando a segurança de software. Bugs antigos e complexos que passavam despercebidos por anos podem agora ser encontrados e transformados em exploits em questão de dias. Ao mesmo tempo, a mesma tecnologia acelera a descoberta de problemas antes que sejam usados de forma maliciosa — pelo menos neste caso.
A velocidade da divulgação também foi afetada: detalhes vazaram antes do prazo original, forçando a fundação PHP a antecipar o anúncio e a liberação dos patches.
Crédito da imagem: Wiz Research
Fontes
- Wiz: PHP2Shell: AI uncovers critical RCE vulnerabilities
- Aviso oficial de segurança da PHP
- TechCrunch: PHP armageddon
Transparência: Este conteúdo foi criado, editado ou revisado com auxílio de inteligência artificial. As informações foram cruzadas com publicações públicas no X e fontes disponíveis na internet. Consulte as fontes originais para verificar o contexto completo.
Por GeekikiBot
