A falha de segurança que abalou a internet este mês — conhecida como PHP2Shell — não foi apenas mais uma vulnerabilidade crítica descoberta em software fundamental. Ela revelou algo inquietante: a inteligência artificial está transformando o ciclo de descoberta e exploração de falhas de segurança em algo radicalmente mais rápido, e o PHP2Shell foi o caso canônico desse novo paradigma.
Em 21 de outubro de 2026, o projeto PHP publicou correções de emergência para dois bugs de execução remota de código (RCE) com pontuação CVSS 9.2 cada. O que torna o caso singular não é a gravidade das falhas — que já é suficiente para sustentar artigos ao longo da semana — mas o fato de que os três grupos que as descobriram (Calif, OpenAI e Wiz) usaram modelos de IA como parte integrante do processo. E não como um acessório: a IA foi a ferramenta que permitiu transformar pistas fragmentadas identificadas em auditorias humanas anteriores em proofs-of-concept funcionais.
Como o PHP2Shell funciona
As duas vulnerabilidades, CVE-2026-109618 e CVE-2026-109619, residem no coração do mecanismo de processamento de requisições do PHP. Ambas exploram o mesmo problema subjacente: quando uma requisição termina de forma anômala, o PHP pode deixar seu estado de memória em um estado corrompido que requisições subsequentes podem aproveitar.
A CVE-2026-109618 é uma falha de uso-após-liberação em heap durante o tratamento de erros de out-of-memory. Quando o PHP encontra um erro de falta de memória, usa `longjmp()` para sair do contexto atual e abortar o processamento. Em alguns contextos, a memória da requisição está temporariamente acessível antes de ser completamente inicializada. Se qualquer alocação falhar nesse ponto, o PHP não contabiliza corretamente a saída antecipada e deixa a memória da requisição em estado inválido.
A CVE-2026-109619 é ainda mais insidiosa. Ela explora variáveis globais — como estado de erro, sessão, objetos e extensões — que são retidas pelo worker mas apontam para memória pertencente a uma requisição. Se um producer deixa estado proprietário da requisição para trás, e um consumer age sobre ele em uma requisição posterior tratada pelo mesmo worker, um ataque de uso-após-liberação se materializa.
O PHP validou execução remota de código completa contra Apache mod_php para ambas as falhas. No caso da CVE-2026-109619, a execução foi validada contra mod_php no PHP 8.5 com a configuração `fatal_error_backtraces` habilitada, e tanto contra mod_php quanto contra PHP-FPM através do recurso de progresso de upload de sessão, que está habilitado por padrão.
A história que ninguém viu: a auditoria de 2024
O que tornou o PHP2Shell particularmente perturbador foi o que a PHP Foundation revelou em uma declaração detalhada em 22 de outubro: uma das vulnerabilidades (CVE-2026-109618) já havia sido identificada durante a primeira auditoria externa de segurança do PHP em vários anos, realizada em 2024. O problema foi detectado, discutido, e depois... arquivado.
"O time de segurança do PHP, operando por consenso, lutou para escolher entre essas opções e temia as repercussões de enviar a escolha errada", explicou a fundação. "Combinado com a falta de um caminho conhecido para execução remota de código e o pequeno time de desenvolvedores core com o conhecimento profundo necessário do motor, ocupado com muitas responsabilidades, esse processo de decisão causou trabalho de correção travando e reiniciando repetidamente ao longo de meses."
Os engenheiros debateram entre quebras de compatibilidade com versões anteriores, novo potencial de negação de serviço, ou a necessidade de mudanças em muitas extensões de terceiros que pareciam impossíveis de coordenar. A decisão de não agir foi tomada em nome da estabilidade — e se mostrou um dos erros mais caros da história do software de código aberto.
A IA como amplificador
Os três grupos que finalmente resolveram o quebra-cabeça foram Calif, OpenAI e Wiz. Calif foi o primeiro a identificar as vulnerabilidades e criar exploits em agosto de 2026 — parcialmente usando ferramentas de IA de fronteira como parte do programa Patch the Planet da OpenAI, mas também com conhecimento humano especializado de PHP, suas dinâmicas e fraquezas. Pesquisadores da OpenAI e da Wiz (filha do Google) descobriram independentemente falhas PHP2Shell usando ferramentas de IA.
A diferença crucial entre essa descoberta e auditorias anteriores é a capacidade da IA de rastrear cadeias de dependência complexas através de milhões de linhas de código C — algo que exaure analistas humanos mesmo quando as pistas estão diante deles. A IA não precisou "adivinhar" o bug: precisou conectá-lo.
Jake Williams, vice-presidente de pesquisa e desenvolvimento da Hunter Strategy e ex-hacker da NSA, observou que "veremos cada vez mais desses bugs de longa vida que estão em todas as versões do software por uma década ou mais". Mas também ponderou: "Para ser sincero, não estou realmente preocupado. As pessoas têm procurado com IA há mais de um ano, e isso exigiu uma equipe altamente qualificada para encontrar isso."
Por que isso importa para a internet
O PHP roda aproximadamente 80% de toda a internet — desde pequenos sites até plataformas corporativas e governamentais. A CISA emitiu um alerta de vulnerabilidade conhecida com exploração ativa, e centenas de sites foram levados fora do ar por organizações e governos em 21 de outubro, incluindo o organismo holandês Rijkswaterstaat.
Segundo estimativas do VirusTotal, mais de 5,1 milhões de hosts PHP estão expostos online, com cerca de 3,8 milhões tendo pelo menos uma porta aberta. A Censys detectou mais de 4 milhões de hosts e 67 milhões de propriedades web rodando PHP.
O mais alarmante, porém, é a cronologia: segundo a Amazon Web Services, hackers começaram a explorar o PHP2Shell em 17 de outubro — quatro dias antes das correções serem publicadas. Detalhes da vulnerabilidade vazaram antes da divulgação pública, e código proof-of-concept já circulava.
O futuro dos exploits assistidos por IA
O PHP2Shell não é um evento isolado — é um sintoma de uma mudança estrutural. À medida que ferramentas de IA ficam mais acessíveis, o custo para transformar vulnerabilidades teóricas em exploits funcionais cai drasticamente. Isso beneficia tanto a equipe defensiva quanto a ofensiva: pesquisadores de segurança podem descobrir e corrigir problemas mais rápido, mas criminosos podem explorar a mesma tecnologia para encontrar e explorar falhas com menos expertise.
A PHP Foundation anunciou que está fortalecendo seus processos de segurança — incluindo auditorias regulares e um triage de segurança melhorado. Mas a pergunta que fica não é se mais bugs como esse existirão (eles sempre existirão), mas se a equipe de segurança humana conseguirá responder mais rápido do que a IA ofensiva os encontrará.
O PHP2Shell mostra que, em 2026, o maior risco de segurança de uma vulnerabilidade crítica não é ela existir — é a IA descobrir como explorá-la antes que alguém conserta.
Fontes: WIRED, The Record (Recorded Future), BleepingComputer
✓ Fontes independentes cruzadas e verificadas antes da publicação
