Uma equipe de especialistas conseguiu demonstrar em cerca de duas semanas, com o auxílio do GPT-5.6 Sol da OpenAI, como explorar uma falha crítica de segurança do PHP que permanecia sem solução desde 2024. Conhecida pelos desenvolvedores havia dois anos, a vulnerabilidade integra o grupo de duas brechas que geraram um alerta global de segurança na quarta-feira (21).

Detalhes da vulnerabilidade

O caso foi exposto pela empresa de segurança Calif em conjunto com a PHP Foundation, entidade que apoia a manutenção da linguagem de programação base de grande parte dos sites na web. De acordo com os profissionais, a inteligência artificial auxiliou a mapear caminhos para explorar uma falha cuja gravidade ainda não havia sido totalmente dimensionada.

O problema viabilizava, sob determinadas condições, que invasores executassem códigos maliciosos remotamente em servidores sem a necessidade de senha. Ambas as vulnerabilidades receberam pontuação de gravidade 9,2 em uma escala de zero a dez e foram solucionadas em pacotes de atualização lançados nesta semana.

O papel da inteligência artificial

Tudo começou em 2024, quando uma auditoria da Quarkslab apontou indícios de falhas no gerenciamento de memória do PHP. Na época, os especialistas suspeitaram do potencial de exploração, mas não acharam um caminho concreto para o ataque. O cenário mudou em julho de 2026, quando a Calif iniciou investigações no programa Patch the Planet da OpenAI.

O esforço teve início em 30 de julho e, em 1º de agosto, os pesquisadores já tinham descobertas sobre a exploração usando IA para analisar o código. Em 11 de agosto, o pesquisador Ryan Austin comunicou a falha aos responsáveis, e dias depois a Calif entregou uma prova de conceito. A equipe do PHP confirmou a exploração em 15 de agosto, duas semanas após o início dos trabalhos.

Desafios na correção do PHP

A demora na solução envolveu obstáculos técnicos e estruturais na gestão de segurança do PHP. Em comunicado emitido na quarta-feira (21), a PHP Foundation admitiu que tentou propor correções desde 2024, mas sem sucesso. Algumas opções comprometeriam a compatibilidade com aplicações existentes, geravam riscos ou exigiam mudanças em extensões de terceiros.

A ausência de uma demonstração prática de ataque dificultou a priorização, cenário agravado pela escassez de especialistas para modificar partes complexas do software. Após as evidências de agosto, a correção virou prioridade máxima com trabalho em tempo integral, culminando nas atualizações de 21 de outubro.

O episódio evidencia o potencial dos modelos de inteligência artificial em acelerar análises de segurança e processar grandes volumes de código, embora especialistas reforcem que a descoberta ainda exige direcionamento técnico humano qualificado.