Sites de governos, bancos, tribunais, companhias aéreas e jornais amanheceram fora do ar nesta semana — não, pelo menos até onde se sabe, porque tivessem sido invadidos, mas porque os responsáveis decidiram tirar as próprias páginas do ar por precaução. O gatilho foi a descoberta de duas falhas críticas no PHP, a linguagem que, segundo a empresa de segurança Wiz, sustenta cerca de 70% dos sites do mundo — do WordPress à Wikipédia. A correção já existe e está na página oficial de downloads do PHP, mas o ritmo da corrida para aplicá-la levou operadores do planeta inteiro a uma manobra incomum: desligar serviços antes que alguém os derrubasse (CNN, via CTV News).
As duas vulnerabilidades — batizadas coletivamente de PHP2Shell e inscritas no catálogo público em que a indústria registra falhas de segurança (os chamados CVEs: CVE-2026-109618 e CVE-2026-109619) — recebem nota 9,2 na escala de gravidade padrão da indústria (CVSS), em que 10 é o máximo, e permitem dois tipos de ataque: executar código no servidor sem precisar de senha e ler a memória do processo, onde podem morar senhas, senhas temporárias (tokens de acesso) e chaves de API (Wiz Research, Help Net Security). A PHP Foundation, organização que mantém a linguagem, lançou as correções de emergência na quarta-feira, 21 de outubro, e pede que operadores atualizem imediatamente.
O que aconteceu com a memória do PHP
Sem jargão, o problema é este: quando uma requisição de site morre no meio do caminho — por erro fatal ou por estourar a memória disponível —, o PHP pode deixar para trás um estado interno corrompido. A requisição seguinte, feita por outro visitante, reaproveita esse estado velho, e é aí que um atacante pode ler dados que não eram dele ou corromper a memória a ponto de executar código próprio (The Nation, Wiz). A falha mora no motor da linguagem, não nos aplicativos: nos testes da Wiz, até um programa de “Hello World” rodando numa versão afetada ficava vulnerável — e o exploit, o código de ataque pronto, funcionou contra instalações recém-baixadas de sistemas prontos para montar sites, como WordPress, Drupal e Joomla.
O detalhe que muda tudo é a idade do problema. O código defeituoso existe há mais de uma década — todas as versões do PHP lançadas nos últimos dez anos são afetadas por pelo menos uma das falhas, num rastro que vai até a versão 5.4. O que faltava era a ponte entre “bug existe” e “bug é explorável”: transformar essas falhas em um ataque funcional exigia uma cadeia tão complexa de passos que beirava o limite do que pesquisadores humanos conseguem fazer na prática (Wiz). Foi essa ponte que a IA construiu. E houve tempo de sobra para construí-la com calma: encontradas no fim de agosto, as falhas ficaram quase dois meses em segredo — o padrão chamado divulgação coordenada, em que pesquisadores avisam os mantenedores e aguardam a correção ficar pronta antes de tornar tudo público.
O ponto de inflexão da IA
As falhas foram encontradas no fim de agosto por equipes da OpenAI, da Wiz — empresa de segurança comprada pelo Google — e de uma terceira firma também do setor, a Calif. Para transformar o defeito em exploit, os pesquisadores da Wiz recorreram aos modelos de IA mais avançados disponíveis: o Gemini 4 Argon, do Google; o Wiz Atlas, da própria Wiz; e o GPT-5.6 Sol, da OpenAI (CNN, via CTV News). “O que a IA mudou foi a capacidade de entender as fraquezas e transformá-las em um exploit funcional”, escreveram os pesquisadores. A conta que eles fazem é impressionante: um único pesquisador, com os modelos certos, completou em uma semana o que antes levaria meses de trabalho de uma equipe de elite (Wiz).
A OpenAI não poupou adjetivos: para a empresa, é “uma das vulnerabilidades de maior impacto dos últimos tempos” (NPR). A própria Wiz chamou o episódio de “ponto de inflexão da IA” e classificou as descobertas entre as mais severas já feitas no PHP — “e, talvez, na história do software”. A mesma tecnologia que tornou o bug perigoso também apressou a cura: segundo a Wiz, os modelos de IA ajudaram a encontrar e corrigir as falhas, e o trabalho virou uma operação conjunta com a PHP Foundation, a Cloudflare — que protege o tráfego de boa parte da web — e as empresas de hospedagem. Nessa operação, foram mapeadas variantes do problema, preparadas detecções e mitigações e validada a correção antes da divulgação pública; Akamai, AWS, Fastly, Google e Microsoft prepararam proteções prontas para quem não consegue atualizar na hora (Wiz).
Num cenário em que cada semana traz um modelo novo disputando posição, nossa análise comparativa dos melhores modelos de IA acompanha e avalia as principais opções disponíveis.
Do Japão à Irlanda: a noite em que a internet apagou as luzes sozinha
A reação dos governos foi imediata e, em alguns casos, dramática. A primeira-ministra do Japão, Sanae Takaichi, publicou na quarta-feira nas redes sociais um apelo às empresas: verifiquem se os sites públicos usam PHP e apliquem a correção assim que possível — e, se não der tempo, suspendam os serviços para reduzir a exposição. A companhia aérea ANA, a operadora ferroviária JR West e o MUFG, o maior banco do país, chegaram a tirar páginas e serviços do ar temporariamente. Na Europa, sites de governo da França, Dinamarca, Finlândia e Holanda — incluindo a agência nacional de cibersegurança holandesa — passaram por desligamentos preventivos; o primeiro-ministro holandês, Rob Jetten, disse que o gabinete acompanha a situação de perto (CNN, via CTV News).
O Reino Unido tirou dezenas de serviços públicos do ar durante a semana, e o porta-voz do governo britânico afirmou que nenhum serviço crítico de grande porte voltado ao público foi afetado — apenas serviços limitados, temporariamente offline (NPR, CNN). O The Journal, segundo maior site de notícias da Irlanda, ficou temporariamente fora do ar enquanto reforçava suas defesas. Até a Wikimedia Foundation, que mantém a Wikipédia, confirmou que desligou vários sistemas como “medida de precaução”.
Do lado das agências, a NSA — a agência de segurança dos EUA — pediu “atenção redobrada” nas próximas semanas, o centro de cibersegurança britânico (NCSC) pediu ação imediata e o ministério da indústria da China orientou entidades a revisar suas lacunas de segurança (NPR).
E os atacantes não ficaram parados esperando o mundo atualizar. Matthew Prince, CEO da Cloudflare, contou que a rede da empresa registrou dezenas de milhares de tentativas de invasão nos primeiros 45 minutos após o anúncio — e que o número já passou de milhões (NPR). “Com o PHP por trás de uma fatia tão vasta da web, a exposição pode alcançar quase todo lugar em que as pessoas gastam dinheiro online”, avisou Nigel Green, CEO da consultoria financeira deVere Group, citando plataformas de reserva, lojas virtuais, serviços de assinatura, bilheteria, aplicativos de entrega e portais de serviços públicos como os mais expostos (CNN). Vale o registro honesto: até agora, os números públicos falam em tentativas — não há lista confirmada de sites invadidos ou de dados roubados em produção.
E no Brasil: Anatel e tribunais federais desligam o SEI
O eco chegou forte ao Brasil. A Agência Nacional de Telecomunicações (Anatel) e tribunais da Justiça Federal suspenderam por precaução o acesso externo ao SEI, o Sistema Eletrônico de Informações — a plataforma em que órgãos públicos tramitam documentos e processos administrativos em formato digital. A Anatel tirou do ar o SEI e outros serviços da agência enquanto conduz avaliações técnicas; o Tribunal Regional Federal da 1ª Região (TRF1) suspendeu o acesso externo seguindo orientação do TRF4 e disse não ter previsão para o restabelecimento; o TRF6, que atende Minas Gerais, foi além e suspendeu o expediente e os prazos processuais após instabilidades em seus sistemas eletrônicos (g1, InfoMoney).
O governo federal emitiu alerta já na quarta-feira, 21, recomendando a atualização imediata aos órgãos públicos — o g1 atribui o aviso ao CISC, o centro de segurança cibernética do governo digital, e o InfoMoney ao CTIR Gov, o órgão de resposta a incidentes do Executivo. O Gabinete de Segurança Institucional confirmou ter alertado os gestores de TI da administração pública federal, e o Ministério da Gestão e da Inovação disse que a situação foi comunicada “a todas as unidades de tecnologia do governo federal para retirar temporariamente do ar todos os sistemas desenvolvidos em PHP” (g1). “Rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites. Com a descoberta dessa vulnerabilidade, os sites que não forem atualizados rapidamente poderão ser invadidos”, avaliou Thiago Ayub, diretor de tecnologia da Sage Networks, ao g1. No fechamento do balanço brasileiro, o alívio: até agora, não há registro de invasão confirmada ou acesso indevido a informações no país — as suspensões são preventivas, e o g1 ainda aguarda resposta do Tribunal Superior Eleitoral sobre eventuais impactos nos sistemas eleitorais.
A corrida armamentista de uma semana
A história piorou na quinta — mas começou a ficar feia antes mesmo da divulgação. Na tarde de terça-feira, os identificadores das duas falhas — os CVEs, códigos com que a indústria rastreia vulnerabilidades — vazaram em fóruns e redes sociais, e a Calif chegou a publicar por engano, apagando em seguida, um vídeo mostrando a própria prova de conceito funcionando contra vários alvos; as cópias se espalharam rápido. O PHP antecipou o lançamento do patch em um dia para conter o estrago, segundo a PHP Foundation (euronews, g1). “O problema de ferramentas como a IA é que, assim que toda a informação está disponível, as pessoas conseguem transformá-la em arma muito, muito depressa”, resumiu à AFP Steve Kerrison, professor de cibersegurança da James Cook University, em Singapura — “é por isso que todo mundo está reagindo com tanta urgência”. A empresa de segurança VulnCheck, então, anunciou o primeiro exploit conhecido que funciona contra servidores comuns (do tipo x86-64) com a ASLR ligada — a proteção que embaralha a memória do programa para dificultar ataques — e mesmo com os ajustes que o próprio PHP recomenda para servidores em produção, testado na versão 8.4.26 (The Register). Segundo Spencer McIntyre, diretor de desenvolvimento de exploits da VulnCheck, o GitHub — site em que programadores publicam código — já acumula centenas de rascunhos de ataque (as “provas de conceito”), “mas pouquíssimos contêm exploits legítimos e funcionais” — até agora, o ASLR era a maior barreira. “Adversários estão claramente gastando tempo (e tokens) nesse bug”, disse ele: os tokens, aqui, são as unidades de texto pelas quais se paga ao usar modelos de IA. Sua recomendação resume o novo normal: a dificuldade técnica de explorar uma vulnerabilidade não deve ser confundida com proteção contra ela — quem opera servidor vulnerável precisa aplicar a correção, não apostar nas defesas de memória.
O Register também noticiou relatos de que atacantes já usavam as falhas antes da divulgação pública — relatos ainda não confirmados oficialmente, mas que convergem com a nota técnica publicada pela Cloud Security Alliance na sexta-feira, intitulada “PHP2Shell: Exploitation Before Disclosure for an AI-Found Flaw” (The Register, CSA).
Heartbleed 2.0, agora com IA dos dois lados
Os pesquisadores da Wiz fazem questão de situar o PHP2Shell na galeria dos marcos: como o Heartbleed de 2014 — o bug no OpenSSL que expôs dados protegidos em cerca de dois terços da web — e o Log4Shell de 2021, a falha do Java que virou símbolo de dependência embutida, o PHP2Shell pode ser o ponto de virada da era da IA (Wiz, CNN). A lição dos três é a mesma: infraestrutura compartilhada, atualizada com atraso, é o calcanhar da internet. A diferença é que, neste caso, a IA derrubou uma barreira específica e concreta — a complexidade que, por mais de uma década, protegeu essas falhas antigas da exploração prática — e a indústria ainda não construiu a equivalente do lado defensivo (Futurum/IRONSCALES, Cyber Magazine/Deloitte).
Para o leitor que mantém um site em WordPress ou qualquer outro sistema em PHP, a tradução prática é uma linha: atualize o PHP hoje, não amanhã — as versões corrigidas (8.5.12, 8.4.27, 8.3.36 e 8.2.35) estão na página oficial de downloads, e o projeto também publicou correções mínimas para as séries antigas 7.4, 8.0 e 8.1, que não recebem mais atualizações regulares. Para quem apenas navega, não há ação imediata: o risco é de quem administra os sites — e, até agora, não há confirmação pública de invasão ou roubo de dados em massa. Para o resto de nós, a história que ficou não é a do bug. É a da semana em que a IA provou, duas vezes e no mesmo pacote, que a complexidade técnica parou de ser um muro: derrubou uma defesa de dez anos em sete dias e, no mesmo intervalo, ajudou a colocar a correção nas mãos dos defensores antes que a exploração em escala confirmada chegasse. O próximo Heartbleed talvez não precise esperar uma década para ser armado — e é isso que deveria nos deixar, ao mesmo tempo, mais rápidos e mais nervosos.
Fonte original: Websites shut down globally after AI finds cybersecurity flaw affecting 70% of the internet — CTV News, por Lisa Eadicicco e Hanna Ziady (CNN), com apuração complementar de NPR (Kate Bartlett), The Register (Jessica Lyons), g1, InfoMoney (Marina Verenicz), euronews (Una Hajdari) e fontes primárias (Wiz Research, PHP Foundation).
Imagem: Fachada do Supremo Tribunal Federal, em Brasília, por Pedro França/Agência Senado, via Wikimedia Commons, licenciada sob CC BY 2.0.
👉 Veja também nossa análise comparativa dos melhores modelos de IA em: blog.ideias.casa/melhores-ia