Falhas críticas no PHP: como a IA ajudou a encontrá-las — e o que fazer agora

Uma vulnerabilidade em um componente amplamente utilizado pode afetar aplicações muito diferentes, mesmo quando seus responsáveis nunca escreveram diretamente o trecho de código problemático. Foi o que motivou a mobilização de equipes de segurança nesta quarta-feira, 21 de outubro de 2026, após a divulgação coordenada de duas falhas críticas no núcleo do PHP.

Os identificadores CVE-2026-109618 e CVE-2026-109619 receberam classificação crítica, com pontuação CVSS v4.0 de 9,2. Em cenários vulneráveis, requisições HTTP especialmente construídas podem causar exposição de memória, indisponibilidade e até execução remota de código sem autenticação. A exploração efetiva depende do ambiente e de como o servidor processa as requisições; não é correto afirmar que todo site feito em PHP já foi invadido.

Quais falhas foram encontradas?

De acordo com o Google Cloud, a CVE-2026-109618 envolve o tratamento de uma situação de falta de memória que pode interromper o processamento enquanto estruturas internas de uma requisição estão parcialmente inicializadas. A limpeza posterior pode então tratar dados inválidos como válidos.

A CVE-2026-109619 envolve estado interno associado a uma requisição que pode permanecer acessível após a liberação da memória que o sustentava. Uma requisição posterior, processada pelo mesmo trabalhador, pode utilizar esse estado obsoleto antes de uma reinicialização adequada. Trata-se, em linhas gerais, de uma condição de uso de memória ou estado já liberado.

São falhas em uma camada de infraestrutura, e não uma prova de que uma aplicação específica desenvolvida com PHP contenha, por si só, código malicioso.

Como a inteligência artificial participou

A descoberta não pode ser atribuída a uma única IA trabalhando sozinha. Em comunicado oficial, a OpenAI afirma que a empresa de pesquisa Calif identificou uma das vulnerabilidades usando GPT-5.6 Sol, enquanto a Wiz encontrou e comunicou independentemente as duas falhas. O Google Cloud informa que a equipe da Wiz utilizou uma combinação de modelos e ferramentas; entre elas, Gemini 4 Argon contribuiu para encontrar a vulnerabilidade, desenvolver e validar provas de conceito e testar medidas de detecção e correção.

É um exemplo relevante do uso de IA em engenharia de software: modelos ajudam a explorar caminhos improváveis, levantar hipóteses e acelerar testes, mas identificar uma falha real requer reproduzir o comportamento, avaliar seu impacto, comunicar os responsáveis e validar a correção.

A diferença entre encontrar uma anomalia e confirmar uma vulnerabilidade explorável é essencial. A segunda exige evidências técnicas e uma resposta coordenada, não apenas a saída convincente de um modelo.

Por que o caso chamou tanta atenção?

O PHP faz parte da infraestrutura de muitos sites, sistemas de gerenciamento de conteúdo e aplicações corporativas. Quando um problema está no interpretador ou no ambiente de execução, o risco pode atravessar vários produtos que compartilham esse componente. A Cloudflare informou ter preparado regras de proteção no seu firewall de aplicações web antes da divulgação pública das falhas.

Essas proteções adicionais ajudam, mas não substituem a atualização do software vulnerável. Sistemas legados exigem atenção especial: versões antigas podem não receber correções oficiais do projeto e depender de fornecedores com suporte estendido.

Quais versões receberam correções?

Segundo a orientação técnica publicada em 21 de outubro pelo Google Cloud, as versões corrigidas pelo projeto PHP são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Versões da família 8.1 e anteriores não recebem essas correções do projeto principal. Distribuições e provedores podem oferecer pacotes próprios para versões antigas; nesses casos, é necessário verificar a orientação do fornecedor.

O que esse episódio ensina sobre IA e segurança

Um sistema de IA pode ampliar a capacidade de auditoria, mas também muda a velocidade com que pesquisadores e possíveis atacantes investigam códigos antigos. Isso aumenta a importância de inventário de dependências, atualização contínua, testes de segurança, documentação e resposta a incidentes.

O ponto central não é que a IA tenha substituído pesquisadores. O caso mostra uma divisão de trabalho mais produtiva: ferramentas computacionais aceleram a investigação; pessoas e organizações verificam evidências, atribuem gravidade, corrigem e coordenam a proteção da infraestrutura.

Em resumo: duas vulnerabilidades críticas foram confirmadas no PHP e receberam correções emergenciais. A inteligência artificial contribuiu para o trabalho de descoberta e validação, mas não dispensa método, revisão humana nem a atualização dos sistemas.