IA revela falhas graves no PHP, levando a remoção de sites

Órgãos governamentais e empresas globalmente retiraram seus sites do ar nesta quarta-feira (21) após a divulgação de duas vulnerabilidades críticas na linguagem de programação PHP, que é fundamental para muitos sites na internet.

A Agência de Segurança Nacional dos Estados Unidos (NSA) recomendou que organizações e companhias apliquem imediatamente os patches de segurança ou desconectem sistemas que estejam vulneráveis.

Segundo a NSA, as falhas oferecem um acesso direto aos arquivos do sistema ou ao banco de dados do servidor, permitindo que invasores controlem servidores sem senha.

Como o PHP é usado em diversas plataformas populares de criação de sites, essas vulnerabilidades podem impactar várias páginas, incluindo lojas online, veículos de mídia e serviços públicos.

Voluntários do projeto lançaram uma correção para esses problemas na mesma quarta-feira.

Atualização urgente

A PHP Foundation, organização que financia os desenvolvedores da linguagem, destacou em seu blog a importância de atualizar o PHP imediatamente.

Volker Dusch, engenheiro de segurança da fundação, comentou ao Wall Street Journal que essas falhas são as mais graves que o PHP enfrentou em mais de uma década.

As vulnerabilidades foram identificadas em agosto pela empresa de segurança Calif e pela OpenAI, criadora do ChatGPT, de forma independente no mesmo dia.

Depois, a Wiz, especializada em segurança na nuvem e pertencente ao Google, descobriu outras maneiras de explorar esses pontos fracos e estimou que cerca de 70% dos sites no mundo utilizam PHP.

As falhas foram inicialmente notificadas de forma confidencial aos desenvolvedores do PHP e mantidas em sigilo até que uma solução pudesse ser desenvolvida.

A OpenAI ressaltou no X que essas brechas estão entre as vulnerabilidades mais impactantes dos últimos tempos, destacando a nova era em que a inteligência artificial pode identificar riscos de segurança com alcance global na internet.

Se a tendência continuar, em 2026 o número de falhas detectadas por modelos de IA poderá superar amplamente o recorde do ano anterior.

Na terça-feira, detalhes das vulnerabilidades foram divulgados antes do lançamento oficial da correção, o que gerou uma corrida para desligar os sites vulneráveis e evitar ataques.