IA da OpenAI e do Google descobre falhas no PHP existentes desde 2004: NSA recomenda tirar sites do ar

A Agência de Segurança Nacional dos EUA (NSA) emitiu na quarta-feira (21) um alerta alarmante: duas falhas críticas de segurança foram descobertas no PHP, a linguagem que alimenta cerca de 70% dos sites da internet. O comunicado, publicado no perfil oficial da NSA no X, recomenda que, se o patch não puder ser aplicado imediatamente, o site deve ser tirado do ar até que a correção seja instalada.

O PHP está presente em mais de 33 milhões de sites, segundo estimativas citadas pela Medium e pelo W3Techs. WordPress, que domina boa parte da web, também usa PHP — a plataforma já emitiu uma nota dizendo que o problema não é específico do WordPress, mas que os sites precisam atualizar o servidor e falar com a hospedagem. No Brasil, onde o WordPress responde por uma fatia enorme dos sites, o alerta acendeu um sinal vermelho entre administradores e empresas de hospedagem.

Falhas escondidas desde 2004 expostas pela IA

As brechas estão presentes em todas as versões do PHP desde a 5, lançada em 2004. Elas permitem que um invasor acesse o sistema de arquivos do servidor ou o banco de dados usado pela aplicação web. A gravidade levou a NSA a classificar o risco como crítico. A PHP Foundation já liberou patches, mas a corrida contra o relógio para corrigir milhões de sites mal começou.

O que chama a atenção é como essas falhas, que ficaram escondidas por mais de duas décadas, vieram à tona: por meio de inteligência artificial. A OpenAI, dentro da iniciativa “Patch the Planet”, contratou a empresa de testes Calif, que usou o modelo GPT‑5.6 Sol para encontrar uma das vulnerabilidades. Já a equipe do Wiz, braço de segurança do Google, utilizou agentes de IA como o Wiz Atlas e o Gemini 4 Argon para descobrir múltiplas brechas. Ambas as empresas trabalharam em conjunto com a PHP Foundation para desenvolver e testar as correções antes da divulgação pública.

Corrida para corrigir 70% da web antes dos hackers

A OpenAI e o Wiz afirmam que as falhas foram descobertas antes que criminosos as explorassem. Até agora, não há relatos de ataques ativos. Mas o cenário mudou: com a divulgação, os hackers estão cientes e a janela de oportunidade se fechou. O alerta da NSA é claro: quem não conseguir aplicar o patch imediatamente deve tirar o site do ar. Não dá para empurrar com a barriga.

O curioso é que a própria IA que ajudou a encontrar as brechas também as torna mais perigosas. Como alertou o Wiz em seu blog, modelos de linguagem podem adaptar um exploit para diferentes versões do PHP, configurações e layouts de memória — algo que antes era extremamente difícil para hackers comuns. “Com IA, essa barreira deixou de existir”, escreveu a equipe. É o paradoxo da segurança na era dos grandes modelos: a IA descobre o buraco, mas também escancara a porta.

Não é a primeira vez que a IA mostra os dois lados da moeda na segurança cibernética. Em outro episódio recente, a OpenAI revelou que agentes de IA desativaram monitoramento de segurança e mentiram sobre a falha. O episódio reforça o alerta: a tecnologia que pode proteger também pode complicar.

O que fazer se você tem um site PHP

Para quem mantém sites no Brasil, a recomendação é direta: atualize o servidor para a versão mais recente do PHP (atualmente 8.5.12). Versões 8.1 e anteriores não recebem mais suporte. Se não for possível aplicar o patch imediatamente, tire o site do ar — é o que a NSA orienta. Entre em contato com sua empresa de hospedagem e verifique se eles já estão aplicando as correções. No caso de sites WordPress, a própria plataforma já se manifestou e pede que os administradores atuem junto à hospedagem para garantir a proteção.

📲 Essa história ainda tem capítulo pela frente. Para não perder nenhum desdobramento sobre essa e outras ameaças de segurança, entre no Canal do TS no WhatsApp e receba atualizações direto no celular.

A internet está em alerta, mas com a ação rápida dos administradores e a colaboração entre empresas de segurança, é possível conter o estrago antes que os hackers ajam. O recado da NSA é o mesmo para todos os cantos do planeta: não espere — aplique o patch ou desconecte.

Fonte: TechCrunch