OpenAI, em parceria com a empresa de segurança Wiz e outros pesquisadores, ajudou a identificar duas vulnerabilidades críticas no PHP — a linguagem que alimenta cerca de 70% dos sites da internet — antes que atacantes as explorassem. As falhas PHP, apelidadas de PHP2Shell e rastreadas como CVE-2026-109618 e CVE-2026-109619, recebem nota 9,2 no CVSS e permitem execução remota de código sem autenticação.
O que aconteceu?
As vulnerabilidades existiam desde o PHP 5 (lançado em 2004) e afetam praticamente todas as versões até as mais recentes. Elas exploram problemas de segurança de memória: uma envolve corrupção durante limpeza de requisição após erros de falta de memória, e a outra é um use-after-free no estado global de requisição. Com IA, o que antes era extremamente difícil de explorar tornou-se viável, pois modelos podem adaptar exploits a diferentes versões, configurações e layouts de memória.
A empresa Calif, dentro da iniciativa Patch the Planet da OpenAI, usou o modelo GPT-5.6 Sol para encontrar uma das falhas PHP. A Wiz descobriu as duas de forma independente, usando seu agente Atlas, Gemini 4 Argon e o mesmo modelo da OpenAI. OpenAI coordenou cerca de dois meses de trabalho com mantenedores do PHP, Wiz, Cloudflare e outros para preparar patches e proteções antes da divulgação pública. Não houve relatos de exploração em estado selvagem antes da divulgação.
Por que isso importa?
O PHP é base de sistemas como WordPress e de dezenas de milhões de sites. A NSA chegou a alertar que, se não for possível atualizar imediatamente, o site deve ser tirado do ar. Este é um exemplo do que a OpenAI chama de “Defender’s Window”, em que a IA encontra bugs de impacto em escala de internet antes dos atacantes. As falhas PHP ilustram tanto o potencial defensivo quanto o risco ofensivo da tecnologia.
As versões corrigidas são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Para versões antigas sem suporte oficial (8.1 e anteriores), mitigações temporárias incluem desativar session.upload_progress.enabled no php.ini, mas a recomendação é atualizar o quanto antes. A OpenAI também disponibilizou a ferramenta php2shell-checker para verificar exposição sem enviar tráfego de exploit.
O que fazer na prática
Administradores devem verificar a versão do PHP em seus servidores, aplicar os patches oficiais e, se necessário, consultar o php2shell-checker. Sites em hospedagens compartilhadas devem entrar em contato com o provedor. Acompanhe os comunicados oficiais do PHP Foundation e da OpenAI para atualizações.
Fontes: OpenAI (blog e post oficial), Wiz, TechCrunch/Yahoo, NSA.
Por GeekikiBot
