joinet.org
O que aconteceu
Defeitos graves que a inteligência artificial achou no PHP, a linguagem de programação por trás da maior parte dos sites, fizeram governos e empresas desligar páginas até instalar o conserto. A correção saiu em 21 de outubro de 2026.
A W3Techs, empresa que mede o uso de tecnologias na internet, conta o PHP em 69,3% dos sites cuja linguagem é conhecida. Sistemas populares de criação de sites, como o WordPress, rodam sobre ele.
As duas falhas deixam um invasor rodar comandos no servidor sem senha. Pelo alerta da NSA, agência de inteligência dos Estados Unidos, o caminho leva aos arquivos do servidor e ao banco de dados do site.
O conserto chegou às 11h de Brasília daquele dia, nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As duas falhas receberam nota 9,2 numa escala de gravidade que vai até 10.
As versões 8.1 e anteriores não recebem mais conserto do projeto. Cerca de metade dos sites em PHP roda versões antigas, segundo Joviane Jardim, da empresa de testes de segurança Detectify.
Na mesma semana vieram três incidentes sem ligação com o PHP: falhas graves no Node.js, outra plataforma de servidores; uma versão adulterada do LiteLLM, programa que distribui pedidos entre modelos de IA; e chaves vazadas da indiana eMudhra, que emite certificados de segurança de sites.
Quem achou as falhas, e com que ferramenta
A Calif, empresa de testes de segurança, relatou o primeiro defeito ao PHP em 11 de agosto de 2026. Ela usou o GPT-5.6 Sol, modelo de IA da OpenAI, dona do ChatGPT, num programa da própria OpenAI para achar falhas em software aberto.
No mesmo dia, a OpenAI relatou o mesmo defeito por conta própria, segundo a fundação que mantém o PHP. Em 18 de setembro, a OpenAI relatou novas formas de explorar a mesma brecha.
A Wiz, empresa de segurança que o Google, da Alphabet (GOOGL 🇺🇸), comprou por US$ 32 bilhões em março de 2026, achou uma das falhas em 19 de agosto. Ela avisou o PHP no dia 24.
A Wiz usou um programa próprio de IA e dois modelos: o Gemini 4 Argon, do Google, e o GPT-5.6 Sol, da OpenAI. Em testes, tomou o controle de sites de teste montados com WordPress, Drupal e Joomla, sistemas populares de criação de páginas.
Segundo a OpenAI, a IA achou as falhas antes dos criminosos, "até onde sabemos". A fundação do PHP conta que um primeiro sinal do defeito apareceu numa auditoria de 2024 e que o conserto travou por meses. Ela chama a demora de "falha estrutural".
Os sites que saíram do ar
A NSA recomendou tirar do ar o sistema que não pudesse ser atualizado na hora. A divisão cibernética do FBI fez a mesma recomendação, segundo o jornal Boston Globe.
Os governos da Finlândia, da Holanda, da França e da Austrália tiraram serviços públicos do ar por um tempo, segundo o jornal The National, de Abu Dhabi. A Nintendo, fabricante japonesa de videogames, também desligou serviços, segundo o site The Record, especializado em segurança digital.
Em 20 de outubro, os números de identificação das falhas circularam na internet, e a Calif publicou por engano um vídeo do ataque. O PHP antecipou a correção de 22 para 21 de outubro.
O tamanho da exposição
A Palo Alto Networks (PANW 🇺🇸), empresa americana de segurança digital, contou mais de 22,6 milhões de servidores expostos, segundo o TechTarget, site de notícias de tecnologia. A empresa não explicou como fez a conta.
A Wiz alerta que a IA também encurta o caminho do criminoso. O trabalho de montar um ataque a partir da falha, diz a empresa, deixou de ser uma barreira com a IA.
Quem vende a defesa
A OpenAI anunciou US$ 1 bilhão em acesso subsidiado ao Daybreak, sua ferramenta de IA para defesa digital, voltado a equipes que protegem sistemas. Ela também distribuiu um verificador de versões do PHP.
A Cloudflare liberou uma proteção provisória para parte dos clientes antes do conserto. A Wiz agradece a Microsoft (MSFT 🇺🇸), a AWS, braço de computação em nuvem da Amazon (AMZN 🇺🇸), e outras empresas pela orientação aos clientes.
Raluca Ada Popa chefia a segurança do Gemini no Google DeepMind, laboratório de IA do Google. Para ela, o caso mostra que a IA de ponta muda o jogo da defesa digital.
Ressalvas
Não há contagem pública dos sites desligados. O The Record fala em centenas no título, sem número no texto. A fundação do PHP falava no risco de milhões de sites fora do ar durante a atualização, e isso era alerta, não contagem.
Que a IA achou as falhas antes dos criminosos é afirmação da OpenAI. Os 22,6 milhões de servidores expostos são da Palo Alto Networks, sem método divulgado. O texto original da Palo Alto não foi localizado.
O TechCrunch diz que as falhas estão em todas as versões desde o PHP 5, de 2004. A Wiz diz que alcançam versões antigas, desde a 5.4, de 2012. O Boston Globe diz que algumas existem há mais de uma década.
Os 69,3% da W3Techs contam só os sites cuja linguagem é conhecida. Reuters e Ars Technica recusaram a ferramenta de leitura e não foram lidas; a CNN não abriu. As publicações da Charité, hospital universitário de Berlim, e do OBS Project, programa gratuito de transmissão ao vivo, citadas pelo The Record, não foram lidas.
Divulgação de conflito de interesse. O Google, da Alphabet, é investidor da Anthropic e dono da Wiz, que achou as falhas com o Gemini, do próprio Google. A Amazon, dona da AWS, e a Microsoft, também investidoras da Anthropic, aparecem entre as empresas que a Wiz agradece. A fundação do PHP cita a Anthropic, que deu acesso ao seu modelo Claude Mythos para uma varredura do PHP no começo de 2026. A Anthropic também financiou parte do trabalho de segurança, e a fundação não credita ao Mythos estas duas falhas. A inteligência artificial usada na pesquisa e redação destes resumos é feita pela Anthropic. Nenhum dado foi obtido junto à Anthropic.