Vulnerabilidade PHP descoberta por IA afeta milhões de sites

OpenAI e Google detectaram em 21 de outubro de 2026 uma vulnerabilidade crítica no PHP que afeta milhões de sites. Os modelos GPT-5.6 Sol e Gemini 4 Argon identificaram a falha antes de atacantes, abrindo uma janela para correção. A Wiz confirmou o problema independentemente usando sua plataforma e os mesmos modelos de IA.

IA achou a falha antes dos atacantes

A descoberta faz parte da iniciativa Patch the Planet da OpenAI, que classifica o problema como uma das "questões de segurança mais impactantes dos últimos tempos". A Wiz também localizou a mesma vulnerabilidade usando sua plataforma Wiz Atlas em conjunto com o Gemini 4 Argon e o GPT-5.6 Sol. Uma ferramenta disponível no GitHub permite que operadores de servidores verifiquem se suas versões do PHP estão vulneráveis.

A falha, apelidada de PHP2Shell, possibilita execução remota de código. Antes, um exploit funcional em uma instalação específica exigia esforço manual para ser adaptado a outras versões e configurações de PHP. Os grandes modelos de linguagem removem essa barreira ao ajustar automaticamente exploits para diferentes versões, configurações e layouts de memória. "Isso reduz significativamente a barreira para escalar ataques em diferentes implantações", afirmou a Wiz.

Correção levou dois meses com cinco fases

O conserto foi coordenado ao longo de dois meses em cinco fases. Participaram desenvolvedores do PHP, a Wiz, a Cloudflare e agências dos Estados Unidos como a CISA e a Casa Branca. A OpenAI propõe esse processo como um modelo repetível para futuras descobertas impulsionadas por IA.

A empresa alerta que as mesmas capacidades que identificam vulnerabilidades também podem auxiliar atacantes. "Vulnerabilidades que antes pareciam impraticáveis de explorar tornam-se alvos viáveis", diz a OpenAI. A descoberta reforça um debate de meses sobre as capacidades ofensivas e defensivas de modelos de IA no campo da cibersegurança. A empresa espera que descobertas na escala da PHP2Shell "aumentem drasticamente nos próximos meses".

A detecção da vulnerabilidade pelos modelos de IA e a confirmação independente pela Wiz são fatos demonstrados. O restante — desde a efetividade do modelo de correção até a previsão de aumento de descobertas — são afirmações da OpenAI que ainda precisam de comprovação externa.