Uso de Inteligência Artificial expõe falhas críticas de segurança antigas no PHP

Pesquisadores de segurança digital utilizando ferramentas de inteligência artificial conseguiram identificar e demonstrar formas de explorar vulnerabilidades antigas presentes na linguagem de programação PHP. As falhas, que remetem a problemas de gerenciamento de memória com mais de uma década de existência, motivaram um alerta global nesta quarta-feira (21), levando empresas e governos a adotarem medidas preventivas em infraestruturas web.

A investigação envolveu equipes das empresas de segurança Wiz e Calif, que empregaram modelos avançados fornecidos pelo Google e pela OpenAI. De acordo com a Wiz, o suporte da inteligência artificial permitiu compactar em aproximadamente uma semana um processo de análise analítica que tradicionalmente exigiria meses de trabalho especializado.

O papel da inteligência artificial na descoberta

O esforço de pesquisa utilizou plataformas como o Wiz Atlas, além dos modelos Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI. Os sistemas foram aplicados na análise do funcionamento interno do PHP, concentrando-se em falhas de gerenciamento de memória onde o programa mantinha referências a dados que deveriam ter sido descartados.

Segundo a Wiz, o desafio técnico consistia em cruzar diferentes anomalias e adaptar os vetores de ataque para as configurações de servidores reais. Com o auxílio dos algoritmos, os pesquisadores aceleraram testes e comprovaram a viabilidade de ataques contra ambientes baseados em plataformas amplamente utilizadas, como WordPress, Drupal e Joomla.

Origem das falhas e barreiras para correção anterior

Embora a descoberta coordenada tenha vindo a público em outubro de 2026, indícios de uma das falhas já haviam sido apontados em 2024, após auditoria da Quarkslab. Na época, desenvolvedores do PHP identificaram inconsistências de memória, mas a complexidade técnica impedia a formulação de um cenário prático de exploração para invasão de servidores.

A PHP Foundation relatou que correções iniciais esbarraram em riscos de incompatibilidade, quedas de desempenho e restrições de equipe. A situação mudou em agosto de 2026, quando a Calif, a OpenAI e a Wiz demonstraram as formas de exploração. A divulgação oficial, inicialmente programada para o dia 22 de outubro, foi antecipada após informações preliminares começarem a circular em redes sociais em 20 de outubro.

Impacto operacional e atualizações disponíveis

O PHP detém ampla participação no ecossistema digital global, estando presente em cerca de 69,3% dos sites com linguagem de servidor conhecida, segundo dados da W3Techs. Para mitigar os riscos associados às vulnerabilidades catalogadas sob as designações CVE-2026-109618 e CVE-2026-109619 ambas com pontuação de gravidade 9,2 de 10, a comunidade de desenvolvimento lançou quatro versões corretivas: PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35.

Especialistas em segurança e desenvolvedores reforçam que a aplicação isolada de atualizações em sistemas de gerenciamento de conteúdo, como o WordPress, não elimina o risco se o interpretador PHP subjacente do servidor permanecer desatualizado. A principal preocupação atual reside no fato de que as mesmas tecnologias de IA utilizadas para a defesa e descoberta também podem ser empregadas por agentes maliciosos para acelerar investidas contra servidores que ainda não aplicaram os patches de segurança.