Atualização: Em 2 semanas, IA da OpenAI resolveu falha no PHP que programadores tentavam decifrar há 2 anos

Prefira o CT no Google Marcelo Fischer/Canaltech Uma equipe de pesquisadores conseguiu, com ajuda do GPT-5.6 Sol, da OpenAI, demonstrar em cerca de duas semanas como explorar uma falha crítica de segurança do PHP que permanecia sem solução desde 2024. A vulnerabilidade, conhecida por desenvolvedores havia dois anos, está entre as duas brechas que provocaram um alerta global de segurança na quarta-feira (21).

O caso foi detalhado pela empresa de segurança Calif e pela PHP Foundation, organização responsável por apoiar o desenvolvimento da linguagem de programação utilizada em grande parte dos sites da internet.

Segundo os pesquisadores, a inteligência artificial ajudou a identificar caminhos para explorar uma falha cuja gravidade ainda não havia sido completamente demonstrada.

O problema permitia, em determinadas condições, que invasores executassem códigos maliciosos remotamente em servidores, sem precisar de uma senha .

A história começou em 2024, quando uma auditoria de segurança conduzida pela Quarkslab identificou indícios de problemas no gerenciamento de memória do PHP.

Na ocasião, os especialistas suspeitaram que a vulnerabilidade poderia ser explorada, mas não conseguiram encontrar um caminho concreto para executar ataques.

As dificuldades permaneceram até julho de 2026, quando a Calif iniciou uma nova investigação como parte do programa Patch the Planet, organizado pela OpenAI para identificar e corrigir vulnerabilidades em softwares amplamente utilizados.

O trabalho começou em 30 de julho. Já em 1º de agosto, os pesquisadores haviam encontrado maneiras de explorar o problema, utilizando ferramentas de inteligência artificial para analisar o código e investigar possíveis falhas.

Em 11 de agosto, o pesquisador Ryan Austin comunicou a vulnerabilidade aos responsáveis pelo PHP. Três dias depois, a Calif apresentou uma prova de conceito, demonstração técnica de que a falha poderia ser explorada em um ataque real.

A equipe de desenvolvimento do PHP confirmou o funcionamento da exploração em 15 de agosto, aproximadamente duas semanas após o início da investigação.

Segundo a OpenAI, a Calif utilizou o GPT-5.6 Sol durante o processo. Pesquisadores da própria empresa também identificaram, de maneira independente, a mesma origem do problema em 11 de agosto.

A investigação ainda contou com a participação da empresa de segurança Wiz, que encontrou as duas vulnerabilidades de forma independente.

A demora envolveu dificuldades técnicas e problemas na organização da equipe de segurança do PHP.

Em comunicado divulgado na quarta-feira (21), a PHP Foundation reconheceu que os responsáveis pela linguagem chegaram a desenvolver diferentes propostas de correção desde 2024, mas nenhuma avançou de forma satisfatória .

Algumas alternativas poderiam comprometer a compatibilidade com aplicações existentes. Outras introduziam novos riscos de segurança ou exigiam mudanças em extensões desenvolvidas por terceiros.

A ausência de uma demonstração concreta de ataque também dificultou a priorização do problema. Como a equipe contava com poucos especialistas capazes de modificar partes mais complexas do PHP, o trabalho foi interrompido e retomado diversas vezes.

A organização classificou o atraso como uma falha estrutural, relacionada à falta de recursos e ao processo interno de tomada de decisões.

Com as evidências apresentadas em agosto, a correção passou a ser tratada como prioridade. O desenvolvimento das atualizações envolveu profissionais que trabalharam em tempo integral, inclusive nos fins de semana.

O episódio mostra como modelos de inteligência artificial podem acelerar investigações de segurança, especialmente na análise de grandes volumes de código.

No relatório técnico publicado pela Calif, Ryan Austin explicou que partiu de seu conhecimento sobre vulnerabilidades antigas do PHP para orientar a ferramenta. A investigação recuperou problemas registrados em 2004 e 2020, que ajudaram a identificar possíveis pontos de exploração.

O pesquisador também ressaltou que a descoberta exigiu conhecimento especializado e perguntas direcionadas à IA. Segundo ele, modelos de linguagem ainda não conseguem encontrar todas as vulnerabilidades de um software apenas com comandos genéricos.

A PHP Foundation reconhece a utilidade dessas ferramentas para analisar relatórios e reproduzir ataques. Desde 1º de julho, a equipe publicou 15 registros de vulnerabilidades e precisou avaliar mais de 100 notificações consideradas inválidas, duplicadas ou impossíveis de reproduzir.

A maior quantidade de descobertas também aumenta a demanda por profissionais capazes de verificar os resultados e desenvolver correções.

No caso do PHP, os responsáveis pela linguagem implementaram as atualizações de segurança com apoio dos pesquisadores. As versões corrigidas foram disponibilizadas em 21 de outubro, após a divulgação antecipada de informações sobre as falhas.

Veja também: Por que quase 70% dos sites usam PHP?