A Agência de Segurança Nacional dos Estados Unidos (NSA) emitiu um aviso crítico na quarta-feira sobre dois buracos graves identificados em PHP, linguagem de programação server-side que alimenta aproximadamente 70% dos sites da internet, estimado em cerca de 33 milhões de sites. A falha também afeta sistemas de gerenciamento de conteúdo amplamente utilizados, como WordPress.
As vulnerabilidades permitem que atacantes infiltrem-se no sistema de arquivos do servidor ou acessem bancos de dados utilizados pelas aplicações web. A NSA recomendou que websites incapazes de serem corrigidos imediatamente sejam desconectados da web até que as correções possam ser aplicadas.
Os buracos existem em todas as versões de PHP desde a versão 5, lançada em 2004. Websites que executam PHP 8.1 e versões mais antigas enfrentam trabalho significativo de atualização, pois essas versões deixaram de receber suporte. A versão atual recomendada é PHP 8.5.12.
As vulnerabilidades foram descobertas através de ferramentas de inteligência artificial. A empresa Calif, envolvida na iniciativa "Patch the Planet" da OpenAI, encontrou uma das falhas utilizando GPT-5.6 Sol. Separadamente, a equipe Wiz utilizou o agente de segurança Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol para identificar múltiplas vulnerabilidades em PHP.
Tanto OpenAI quanto Wiz adotaram práticas responsáveis de pesquisa de segurança, colaborando com a PHP Foundation no desenvolvimento de patches antes da divulgação pública. A iniciativa envolveu cooperação com Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft e Vercel para testes e validação das correções.
WordPress emitiu declaração afirmando que a vulnerabilidade não é específica de sua plataforma, mas que sites que utilizam o CMS devem atualizar seus servidores e coordenar com provedores de hospedagem para garantir proteção.
Segundo OpenAI, as falhas foram descobertas por pesquisadores antes de hackers explorarem-nas, sem relatos de exploits em uso selvagem até o momento. No entanto, existe risco significativo decorrente das capacidades de inteligência artificial. Conforme alertado por Wiz, modelos de linguagem grandes podem adaptar exploits para diferentes versões de PHP, configurações e layouts de memória, tornando o vetor de ataque viável para criminosos.
A situação representa paradoxo de segurança: as mesmas ferramentas de IA que permitiram identificar e prevenir essas vulnerabilidades decades-antigas também amplificam o risco caso exploradas por atacantes. Agora que as falhas foram publicamente divulgadas, existe corrida contra o tempo para que dezenas de milhões de websites sejam corrigidos antes de possíveis ataques.
