Uma falha do PHP que todos haviam descartado como inofensiva acabou sendo um caminho para o controle total de um servidor, e bastou menos de duas semanas a um pesquisador com ferramentas de IA para provar isso. O relato da IEEE Spectrum sobre o PHP2Shell merece atenção porque o padrão que descreve, velhas falhas rotuladas como 'só uma queda' que se tornam graves quando a IA faz o raciocínio difícil, vai muito além de uma única linguagem. O PHP ainda move boa parte da web, então os sites em risco não eram obscuros.
A falha em si é um erro de falta de memória, em que um dado recebe menos espaço do que precisa. Por si só isso costuma apenas derrubar o programa, por isso foi reportada à PHP Foundation em 2024 e ficou sem correção. No início de 2026, a empresa de segurança Calif ofereceu-se para auditar o PHP, com a OpenAI pagando pelo trabalho. Em menos de duas semanas, um pesquisador da Calif usou ferramentas de IA para transformar a queda em execução de código arbitrário: a capacidade de rodar qualquer código na máquina. A Wiz e a OpenAI depois confirmaram as falhas e encontraram mais. A correção ocupou quatro engenheiros por dois meses, e o problema se tornou público no fim de outubro de 2026, com o comunicado de segurança da Foundation datado de 21 de outubro. Até onde se sabe, nenhum ataque ocorreu antes de o patch sair.
O ponto técnico dos especialistas é o que fica. Suman Jana, de Columbia, descreve explorar uma falha assim como encontrar exatamente para que posição da memória saltar e quais bits sobrescrever, e em que ordem: não é ciência de foguetes, diz ele, mas um raciocínio específico e penoso que a IA agora faz bem. Ele tem o cuidado de acrescentar que a IA não consegue fazer isso sozinha e que, sobretudo, deixa bons especialistas mais rápidos enquanto eleva quem está logo abaixo a um trabalho parecido.
Isso combina com o que vimos em outros lugares. A OpenAI rodou processos parecidos contra o kernel do Linux, e em nossa análise do GPT-6 Cyber registramos as afirmações do mesmo fornecedor sobre encontrar e explorar falhas em grande escala. O fio comum é que descobrir e transformar em arma fica cada vez mais barato enquanto o trabalho humano de corrigir não fica.
Essa assimetria é o porém. Jana aponta que encontrar falhas e corrigi-las não são simétricos, e que a diferença atinge com mais força os projetos de código aberto sem financiamento. Ele aposta em ferramentas de verificação formal, como a publicação da Anthropic de 22 de outubro, em que uma IA escreve um patch e uma prova verificável de que ele funciona. Matthew Green, de Johns Hopkins, é menos otimista e só espera financiamento real depois de um desastre público, que o PHP2Shell não foi. Seu conselho prático, e a única defesa que a maioria dos donos de sites tem hoje, é instalar as atualizações de segurança sem demora.