Falhas de 20 anos no PHP ameaçam 70% da web global

A Agência de Segurança Nacional dos Estados Unidos (NSA) emitiu um alerta que sacudiu a comunidade de tecnologia nesta semana. Duas falhas críticas foram encontradas no PHP, a linguagem de programação que roda no servidor de aproximadamente 70% dos sites da internet. Estamos falando de mais de 33 milhões de páginas potencialmente vulneráveis.

O mais perturbador: essas brechas estavam escondidas no código desde a versão 5 do PHP, lançada em 2004. Ficaram ali, invisíveis, por mais de duas décadas. Quem as encontrou não foi um hacker genial nem uma equipe tradicional de auditoria. Foi inteligência artificial.

Como a IA encontrou o que humanos não viram por 20 anos

A descoberta veio de dois caminhos independentes que convergiram para o mesmo problema. A empresa de segurança Calif, participando da iniciativa “Patch the Planet” da OpenAI, utilizou o modelo GPT-5.6 Sol para vasculhar o código-fonte do PHP em busca de vulnerabilidades. E encontrou uma.

Paralelamente, a equipe da Wiz, empresa de segurança em nuvem adquirida pelo Google, usou uma combinação do seu agente de segurança Wiz Atlas, do Gemini 4 Argon e também do GPT-5.6 Sol para identificar múltiplas falhas na linguagem. As duas equipes seguiram práticas de divulgação responsável, trabalhando com a PHP Foundation para desenvolver correções antes de tornar tudo público.

Esse é um caso emblemático de como a inteligência artificial está redefinindo a segurança cibernética. Modelos de linguagem conseguem analisar volumes massivos de código com uma velocidade e profundidade que equipes humanas simplesmente não alcançam no mesmo prazo.

O paradoxo da IA na segurança: quem encontra também pode explorar

Aqui está a ironia que torna esse episódio particularmente relevante. A OpenAI afirmou que as falhas foram encontradas por pesquisadores antes que hackers as descobrissem. Não houve registros de exploração maliciosa até o momento da divulgação. Parte da razão é que, sem IA, essas brechas eram complexas demais para serem exploradas de forma prática.

A Wiz, porém, fez um alerta que merece atenção. Com IA, essa barreira técnica deixa de existir. Modelos de linguagem conseguem adaptar um exploit para diferentes versões do PHP, configurações de servidor e layouts de memória. O que antes exigia conhecimento altamente especializado agora pode ser automatizado.

Em outras palavras, estamos diante de uma vulnerabilidade que foi encontrada e prevenida graças à IA, mas que também só representa risco elevado por causa da IA. É o tipo de paradoxo que vai se tornar cada vez mais comum à medida que a inteligência artificial generativa se torna mais acessível tanto para defensores quanto para atacantes.

Por que a NSA mandou tirar sites do ar

A gravidade da orientação da NSA não tem precedentes recentes para uma linguagem de programação. A agência recomendou que qualquer site que não consiga aplicar a correção imediatamente seja retirado do ar até que a atualização seja feita. A razão é direta: as falhas permitem que atacantes acessem o sistema de arquivos do servidor ou o banco de dados utilizado pela aplicação web.

A versão recomendada para atualização é o PHP 8.5.12. O problema é que versões 8.1 e anteriores já não recebem suporte da PHP Foundation. Sites rodando versões mais antigas precisam de um trabalho maior de migração, não apenas um patch simples.

Para quem usa WordPress, que é o sistema de gerenciamento de conteúdo mais popular do mundo e roda sobre PHP, a situação exige atenção redobrada. O WordPress emitiu um comunicado esclarecendo que a falha não é específica do seu CMS, mas que os administradores de sites precisam atualizar seus servidores e trabalhar com suas empresas de hospedagem para garantir a proteção.

A corrida contra o tempo já começou

Uma série de empresas de infraestrutura se mobilizou para auxiliar na mitigação. Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft e Vercel foram citadas como colaboradoras no processo de teste e distribuição dos patches. Essa mobilização coordenada reflete a escala do problema.

Agora que a vulnerabilidade é pública, hackers também estão cientes. A corrida é para corrigir dezenas de milhões de sites antes que agentes maliciosos consigam atacar os que permanecem desprotegidos. É uma dinâmica conhecida no mundo da segurança cibernética: após a divulgação, a janela de exploração se abre.

Para empresas que dependem de aplicações web em PHP, o impacto financeiro de não agir pode ser significativo. Violações de dados geram multas regulatórias, perda de confiança de clientes e custos de remediação que frequentemente superam milhões de dólares. A IBM estima que o custo médio global de uma violação de dados ultrapassou US$ 4,8 milhões nos últimos relatórios disponíveis.

O que esse episódio revela sobre o futuro da segurança digital

Esse caso do PHP é um divisor de águas por três razões. Primeiro, demonstra que bases de código consideradas maduras e amplamente auditadas ainda escondem falhas graves. Segundo, prova que a IA é capaz de encontrar vulnerabilidades que passaram despercebidas por décadas de revisão humana. Terceiro, e mais preocupante, mostra que a mesma tecnologia que protege pode ser usada para atacar com eficiência inédita.

O setor de segurança cibernética já movimenta mais de US$ 200 bilhões por ano globalmente, segundo estimativas da Gartner, e a tendência é de aceleração. Empresas que desenvolvem agentes de IA para segurança, como a própria Wiz, estão entre as mais valorizadas do ecossistema de tecnologia. O Google pagou US$ 32 bilhões pela Wiz no início de 2025, a maior aquisição da história da empresa.

Para quem acompanha o mercado de tecnologia, o recado é claro: a segurança cibernética deixou de ser um custo operacional e se tornou uma questão existencial. E a inteligência artificial está no centro dessa transformação, tanto como solução quanto como vetor de risco.