A internet, como a conhecemos, é mantida com cola e sonhos. Essa frase, cunhada por Sean O'Kane, editor da TechCrunch, ressoou com força após o episódio das vulnerabilidades PHP2Shell que quase destruiu a web esta semana. Mas a notícia mais importante não é a existência de duas falhas críticas — é que elas permaneceram escondidas por décadas e só foram descobertas graças a um novo paradigma de como a inteligência artificial interage com código-fonte.
O que aconteceu na última semana vai muito além de um bug em particular. É o sintoma de uma mudança estrutural na forma como a infraestrutura digital é criada, mantida e, agora, auditada. E a pergunta que surge não é apenas se mais vulnerabilidades vão aparecer — é se estamos preparados para lidar com o ritmo acelerado que a IA impôs ao ciclo de descoberta e exploração.
O episódio PHP
As vulnerabilidades CVE-2026-0322 e CVE-2026-0323, encontradas no PHP — a linguagem que roda cerca de 70% dos sites do mundo — são um caso paradigmático. Ambas existem no código-fonte do PHP há décadas. O primeiro foi mapeado até o PHP 4.3, lançado em 2002. São falhas reais, exploráveis remotamente, que permitem a execução de código arbitrário em servidores vulneráveis.
A diferença em relação a bugs tradicionais é que a descoberta não foi feita de forma isolada. Foi parte de uma iniciativa coordenada pela OpenAI e pela Wiz (adquirida pelo Google), chamada "Hack the Planet", que envolveu pesquisadores de várias empresas trabalhando de forma colaborativa. A equipe da Wiz usou modelos do Google, incluindo o Gemini 2.5 Pro, para mapear milhões de linhas de código e encontrar padrões que escaparam à análise humana por anos.
O resultado foi devastador. Sites de governos europeus ficaram fora do ar. Operadoras como a SoftBank no Japão suspenderam sistemas de alerta de emergência. A Cloudflare, uma das maiores provedoras de infraestrutura web do mundo, relatou milhões de tentativas de exploração nas primeiras horas após a divulgação.
Mas o ponto central não é que os sites caíram. É que, quando você desfia o tecido da internet, descobre que há camadas inteiras de software antigo sustentando tudo — código escrito por equipes de algumas pessoas, sem processos de segurança modernos, sem red teams dedicados, sem fundos para manter a segurança.
A nova fronteira: descoberta assistida por IA
A VulnCheck publicou dados impressionantes sobre a tendência que se configura. Desde o início de 2026, o número de CVEs divulgados por fornecedores específicos saltou a níveis sem precedentes: Chrome registrou um aumento de 563%, VMware subiu 180%, Apache cresceu 170%, Mozilla avançou 156%. O próprio GitHub confirmou que as emissões de CVE dispararam 476%, com Madison Oliver Ficorilli, da equipe de segurança da plataforma, explicando que "não é uma pessoa ou uma ferramenta, é um deslocamento sistêmico em como a descoberta de vulnerabilidades está acontecendo".
Em abril de 2026, a Anthropic anunciou o Project Glasswing e o modelo Claude Mythos, que alegou ter identificado milhares de vulnerabilidades zero-day em todos os principais sistemas operacionais e navegadores. Em vez de liberar o modelo ao público, a empresa distribuiu acesso a um consórcio de parceiros que inclui AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, Microsoft, NVIDIA e Palo Alto Networks.
Os dados da VulnCheck mostram que, desde então, o volume de descobertas assistidas por IA não desacelerou. A qualidade das submissões melhorou progressivamente — o que começou como "slop" (submissões de baixa qualidade, em grande volume) evoluiu para descobertas sérias e verificáveis. O que estamos vendo é o primeiro ciclo de uma onda que provavelmente só vai crescer.
O paradoxo: mais vulnerabilidades, mais segurança?
Há um paradoxo central nessa situação. Matthew Prince, CEO da Cloudflare, comparou o fenômeno a "derroter os monstros em uma casa assombrada" — pode ser assustador, mas é melhor saber que os monstros estão à luz do dia do que escondidos na escuridão. Por outro lado, o mesmo fenômeno que permite que equipes defensivas descubram falhas antes dos atacantes também significa que atacantes podem descobrir e explorar vulnerabilidades ao mesmo ritmo.
Daniel Stenberg, desenvolvedor principal do curl, argumentou que as vulnerabilidades descobertas por IA tendem a ser bugs exóticos, difíceis de explorar na prática. Ramy Rahman, da ArmorCode, afirmou que "mais vulnerabilidades divulgadas não significam automaticamente mais ataques bem-sucedidos". Há, portanto, um debate em aberto sobre se o aumento no volume de descobertas vai se traduzir em mais incidentes reais.
O que é inegável é a compressão temporal. O prazo entre a descoberta de uma falha e a disponibilidade de exploits para atacantes — que antes dava dias ou semanas de margem — agora pode ser horas. Shane Fry, da RunSafe Security, disse que o desempenho demonstrado pelos modelos de IA nos últimos meses "eliminou definitivamente as dúvidas sobre como isso vai mudar a indústria".
O que vem a seguir?
A infraestrutura da internet, construída sobre décadas de software legado e manutenção sobrecarregada, agora enfrenta um cenário onde a descoberta de vulnerabilidades acelera exponencialmente. A pergunta que fica não é se vamos ver mais incidentes como o da PHP2Shell — é que tipo de modelo de segurança emergirá para enfrentar essa realidade.
A resposta provavelmente não está em tentar impedir que a IA descubra falhas, mas em construir ecossistemas de manutenção que operem na mesma velocidade. Isso significa ferramentas automatizadas de patch, sistemas de detecção em tempo real, e, acima de tudo, a compreensão de que a internet é um organismo vivo cujas partes fundamentais precisam de investimento contínuo — não apenas quando há uma crise, mas antes.
A casa assombrada vai continuar existindo. A questão é se vamos conseguir mantê-la acesa.
Fontes: TechCrunch, Business Standard (Reuters), VulnCheck
✓ Fontes independentes cruzadas e verificadas antes da publicação
