Região: IA revela falhas escondidas há mais de 10 anos no PHP; entenda a descoberta

As descobertas envolveram pesquisadores das empresas de segurança Wiz e Calif, que utilizaram modelos do Google e da OpenAI para identificar os problemas e demonstrar possíveis ataques.

Segundo a Wiz, as ferramentas de IA ajudaram a executar em aproximadamente uma semana uma investigação que poderia exigir meses de trabalho de especialistas.

O PHP é uma das linguagens de programação mais utilizadas na internet e está presente em plataformas como WordPress, Drupal e Joomla . Segundo a W3Techs, 69,3% dos sites cuja linguagem de servidor é conhecida utilizam essa tecnologia.

A investigação envolveu três ferramentas principais: o Wiz Atlas , plataforma de pesquisa de segurança com IA, o Gemini 4 Argon , do Google, e o GPT-5.6 Sol , da OpenAI.

Os pesquisadores utilizaram esses sistemas para analisar o funcionamento interno do PHP e investigar problemas relacionados ao gerenciamento de memória.

Em determinadas situações, o programa poderia continuar utilizando informações de memória que já deveriam ter sido descartadas. Criminosos poderiam explorar esse comportamento para executar comandos maliciosos em servidores, dependendo das condições do sistema.

Segundo a Wiz, a dificuldade estava em combinar diferentes problemas e adaptar os ataques às configurações de cada servidor.

Com o auxílio da IA, os pesquisadores conseguiram acelerar testes, analisar resultados e modificar suas técnicas até demonstrar ataques contra instalações de WordPress, Drupal e Joomla.

A empresa afirma que o Gemini 4 Argon teve participação importante na identificação das vulnerabilidades, no desenvolvimento dos testes e na validação das correções.

A descoberta também envolveu a Calif, que utilizou o GPT-5.6 Sol para identificar independentemente um dos problemas, dentro de uma iniciativa coordenada pela OpenAI.

Embora as vulnerabilidades tenham sido divulgadas nesta quarta-feira (21), os primeiros sinais de um dos problemas foram identificados em 2024.

Na ocasião, uma auditoria de segurança realizada pela Quarkslab levou um desenvolvedor do PHP a encontrar indícios de falhas no gerenciamento de memória.

Entretanto, a equipe ainda não havia encontrado uma maneira concreta de explorar o problema para invadir servidores.

Segundo a PHP Foundation, diferentes soluções foram discutidas, mas apresentavam riscos de incompatibilidade, perda de desempenho ou problemas para outras ferramentas desenvolvidas com PHP.

As dificuldades, somadas à quantidade limitada de profissionais disponíveis, atrasaram a correção. A própria fundação reconheceu que houve uma falha na organização do processo.

No dia 11, pesquisadores da Calif e da OpenAI demonstraram formas de explorar o problema. Já em 19 de agosto, a Wiz identificou vulnerabilidades com auxílio de IA e, nos dias seguintes, comprovou ataques contra WordPress e Drupal.

A empresa comunicou suas descobertas à equipe do PHP em 24 de agosto.

Mesmo com a gravidade confirmada, os detalhes foram mantidos em sigilo para permitir que os desenvolvedores preparassem as correções antes que criminosos pudessem utilizar as informações.

A divulgação estava prevista inicialmente para 22 de outubro, mas foi antecipada após informações sobre as vulnerabilidades começarem a circular nas redes sociais no dia 20.

A correção foi desenvolvida e publicada pelos responsáveis pelo PHP, com apoio de pesquisadores e empresas de tecnologia.

Além da Wiz, organizações como OpenAI, Calif, Cloudflare e Google participaram das investigações, dos testes ou da preparação de medidas de proteção.

Nesta quarta-feira (21), foram disponibilizadas quatro versões corrigidas da linguagem:

As atualizações resolvem as duas vulnerabilidades identificadas como CVE-2026-109618 e CVE-2026-109619, que receberam nota 9,2 de 10 em gravidade.

Entretanto, os sites que continuam utilizando versões vulneráveis ainda podem sofrer ataques.

O alerta também se aplica a plataformas como WordPress: atualizar apenas o sistema de gerenciamento de conteúdo ou seus plugins não corrige uma vulnerabilidade presente no próprio PHP.

A equipe responsável pela linguagem recomenda que administradores atualizem seus servidores imediatamente.

A descoberta também preocupa especialistas por outro motivo. As mesmas ferramentas de IA que ajudaram os pesquisadores a identificar as vulnerabilidades podem ser utilizadas por criminosos para acelerar o desenvolvimento de ataques contra servidores que ainda não receberam as correções.

Veja também: Prompt de menos de 100 caracteres fez agentes de IA invadirem mais de 100 empresas