A Agência de Segurança Nacional dos EUA (NSA) alertou na quarta-feira que foram encontradas duas vulnerabilidades críticas no PHP, a linguagem de programação do lado do servidor que sustenta uma grande parte da web. A PHP Foundation já lançou correções. A orientação da agência foi direta: se um site não puder ser corrigido imediatamente, deve ser tirado do ar até que a correção seja possível.

O PHP roda aproximadamente 70% dos sites, segundo números citados na reportagem, o que, segundo algumas estimativas, equivale a mais de 33 milhões de sites. A linguagem também alimenta sistemas de gerenciamento de conteúdo populares, como o WordPress. As falhas permitem que atacantes acessem o sistema de arquivos de um servidor ou um banco de dados que a aplicação web possa utilizar.

Quais versões do PHP são afetadas pelas falhas?

Os bugs não são novos. Eles estão presentes em todas as versões do PHP desde a versão 5, lançada em 2004. Sites que rodam versões mais antigas enfrentam o maior trabalho. O PHP 8.1 e as versões anteriores não recebem mais suporte, e a recomendação é atualizar para a versão atual, 8.5.12.

Como as falhas do PHP foram encontradas com o uso de IA?

O que é novo é como as falhas foram encontradas. Ferramentas de IA tiveram um papel central. A Calif, empresa de testes de segurança, participou da iniciativa “Patch the Planet”, da OpenAI, que busca falhas em softwares de código aberto. Usando o GPT-5.6 Sol, a empresa encontrou uma das falhas, informou a OpenAI em uma postagem de blog.

Separadamente, a equipe da Wiz usou seu agente de IA de segurança Wiz Atlas, o Gemini 4 Argon e o GPT-5.6 Sol para encontrar múltiplas vulnerabilidades no PHP. Tanto a OpenAI quanto a Wiz seguiram práticas responsáveis de pesquisa em segurança, trabalhando com o PHP nas correções antes de tornar as falhas públicas. Os grupos então testaram as correções em conjunto com um conjunto mais amplo de empresas. A Wiz agradeceu à Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft e Vercel pela ajuda.

O WordPress afirmou que a falha não é específica de seu software. Sites que usam seu CMS ainda precisam corrigir seus servidores e trabalhar com seus provedores de hospedagem para garantir que estejam protegidos.

A OpenAI disse que os pesquisadores encontraram as falhas antes dos hackers, por isso não há relatos de exploração no mundo real. Parte do motivo, segundo a empresa, é que, antes da IA, as falhas eram difíceis demais para os atacantes explorarem. A Wiz foi direta sobre o que mudou. “Com a IA, isso não é mais uma barreira”, escreveu a empresa em sua postagem de blog. “LLMs podem ajudar a adaptar uma exploração a diferentes versões do PHP, configurações e layouts de memória.”

Por que essas falhas do PHP precisam de correção imediata?

Esse é o problema de dois gumes. A IA ajudou a encontrar e a antecipar as falhas, e também as tornou mais perigosas. Agora que o problema foi divulgado, os atacantes sabem onde procurar. A corrida está em andamento para corrigir dezenas de milhões de sites antes que os hackers alcancem os que ainda estão expostos. Essa é a razão por trás da orientação da NSA, que deixa pouco espaço para os responsáveis pelos sites esperarem.

This article was written with the assistance of AI.
News Factory APP - agentic news to boost your SEO & AEO.