OpenAI e Wiz acham duas falhas no PHP que afetam 70% da web em agosto de 2026

Em outubro de 2026, a OpenAI publicou detalhes sobre a descoberta e a correção das vulnerabilidades PHP2Shell.

Como as falhas funcionam e o que já foi demonstrado

Os erros estão no tratamento interno que o PHP faz de condições de falta de memória e de erros fatais, não em plugins ou lógicas de autenticação de aplicações. Os pesquisadores demonstraram exploração pré-autenticação contra WordPress, Drupal e Joomla. Também revelaram que qualquer aplicação PHP pode sofrer vazamento de memória no estilo Heartbleed. Ryan Austin, da Calif, usou o GPT-5.6 Sol da OpenAI para localizar as falhas; a Wiz, por sua vez, credita ao Gemini 4 Argon e à sua própria ferramenta Wiz Atlas a descoberta independente dos mesmos bugs.

A OpenAI afirma que foram necessários dois meses de trabalho coordenado entre mantenedores, provedores de segurança e governos para preparar o patch. A PHP Foundation participou ativamente do processo, segundo relato de participantes. A vulnerabilidade, contudo, ainda divide opiniões: enquanto alguns a comparam a casos históricos como Log4Shell e Heartbleed, outros questionam a amplitude real dos riscos.

O que a OpenAI não esclareceu e o que falta para a correção

A OpenAI não detalhou quando a correção estará disponível para todos os ambientes nem se há custo ou restrição de acesso. O comunicado também não esclareceu se a exploração já ocorreu em larga escala fora dos laboratórios. A OpenAI lançou em julho de 2026 o projeto Daybreak for Frontline Defenders, com subsídio de US$ 1 bilhão para acesso a modelos Daybreak, mas não informou se esse programa teve relação direta com a descoberta das falhas no PHP. A Wiz, por sua vez, não publicou métricas de cobertura ou performance de seus modelos durante a detecção das vulnerabilidades.