A OpenAI anunciou, nesta quarta-feira (21), a descoberta e a correção de falhas críticas de segurança no PHP, uma tecnologia utilizada no funcionamento de aproximadamente 70% dos sites da internet.
As vulnerabilidades poderiam permitir que criminosos invadissem servidores, acessassem informações sigilosas e assumissem o controle de sistemas desprotegidos. A descoberta contou com o auxílio de ferramentas avançadas de inteligência artificial e mobilizou pesquisadores, desenvolvedores e empresas de infraestrutura digital durante cerca de dois meses. As correções já foram disponibilizadas, mas sua aplicação depende da atualização dos sistemas afetados.
Inteligência artificial ajuda a identificar falhas que permaneceram ocultas por anos
Uma das descobertas foi realizada por pesquisadores da empresa Calif, com auxílio do modelo GPT-5.6 Sol, desenvolvido pela OpenAI. Paralelamente, especialistas da empresa de cibersegurança Wiz identificaram e relataram vulnerabilidades relacionadas, utilizando ferramentas de inteligência artificial em suas investigações. Segundo os pesquisadores, os problemas estavam ligados a características internas do PHP, algumas presentes havia mais de uma década, mas cuja exploração era considerada extremamente complexa. O uso da IA permitiu analisar grandes quantidades de informações, identificar comportamentos inesperados e demonstrar como essas falhas poderiam ser aproveitadas em ataques reais. O episódio evidencia o crescente papel da inteligência artificial na identificação de ameaças digitais que poderiam passar despercebidas pelos métodos tradicionais.
Falhas poderiam permitir invasões e acesso a informações confidenciais
As vulnerabilidades identificadas poderiam abrir caminho para ataques realizados remotamente, sem que o invasor precisasse conhecer senhas de acesso ao servidor. Dependendo das condições do sistema, criminosos poderiam executar comandos, obter dados confidenciais e até assumir o controle de servidores vulneráveis. Entre as informações potencialmente expostas estariam senhas, credenciais de acesso e outros dados utilizados no funcionamento de serviços digitais. Os pesquisadores demonstraram a possibilidade de exploração em ambientes que utilizam plataformas populares, como WordPress, Drupal e Joomla. A gravidade das falhas foi classificada em 9,2 pontos em uma escala de segurança que vai até 10, colocando o problema entre as ameaças consideradas críticas.
Por que uma falha no PHP pode afetar sites em todo o mundo?
O PHP é uma linguagem de programação utilizada nos bastidores de milhões de páginas, portais de notícias, lojas virtuais e serviços disponíveis na internet. Embora não seja percebido diretamente pelos visitantes, ele participa de operações essenciais para o funcionamento desses ambientes, incluindo o processamento de informações e a comunicação com bancos de dados. De acordo com a Wiz, a tecnologia está presente em aproximadamente 70% dos sites do mundo, o que amplia consideravelmente o alcance potencial das vulnerabilidades identificadas. Entretanto, esse percentual não significa que todos esses sites tenham sido invadidos ou estejam necessariamente expostos da mesma maneira. O risco depende das versões do PHP utilizadas, das características de cada servidor e da aplicação das atualizações de segurança. A descoberta representa, portanto, um alerta mundial para administradores de sites e empresas responsáveis por serviços digitais.
Correções foram lançadas após dois meses de trabalho coordenado
Antes da divulgação pública, a OpenAI, pesquisadores de segurança, desenvolvedores do PHP e empresas de infraestrutura trabalharam de maneira coordenada para compreender as vulnerabilidades e preparar uma resposta. O objetivo foi disponibilizar as correções antes que os detalhes técnicos se tornassem amplamente conhecidos, reduzindo o risco de exploração por criminosos. Em 21 de outubro, a equipe responsável pelo PHP lançou atualizações de segurança destinadas a corrigir os problemas identificados. Empresas como Cloudflare, Wiz e outros parceiros também participaram da preparação de medidas de proteção e orientações para os responsáveis pelos sistemas. A recomendação principal é que empresas, provedores de hospedagem e administradores de sites verifiquem as versões utilizadas e apliquem as atualizações oficiais. Segundo os desenvolvedores, medidas provisórias podem reduzir determinados riscos, mas não substituem a correção definitiva. Até a divulgação dos comunicados consultados, a existência das falhas não significava que houvesse comprovação de invasões em massa envolvendo os sites que utilizam PHP.
Fontes: OpenAI — comunicado oficial “Patch the Planet” (21/10/2026); Wiz Research — relatório “PHP2Shell” (21/10/2026); PHP.net — comunicados oficiais de segurança (20 e 21/10/2026).
