Milhões de tentativas de explorar vulnerabilidades do PHP recém-divulgadas ocorreram poucas horas após sua divulgação, segundo uma análise da Cloudflare citada pela WIRED. As falhas, chamadas coletivamente de PHP2Shell, levaram equipes de segurança e administradores de sites a correr para aplicar correções.
Até agora, não há relatos de invasões em larga escala. A PHP Foundation afirma não ter observado nenhuma exploração bem-sucedida das falhas, e muitos dos exploits que circulam publicamente parecem ineficazes. A WIRED não identifica as versões do PHP afetadas nem fornece instruções para aplicar correções.
IA ajudou pesquisadores a encontrar uma brecha
Pesquisadores da empresa de segurança Calif identificaram as vulnerabilidades e desenvolveram exploits no início de agosto, usando em parte ferramentas de IA de ponta por meio do programa Patch the Planet, da OpenAI. O trabalho também se baseou no conhecimento especializado da equipe sobre PHP. Pesquisadores da OpenAI e da Wiz, empresa pertencente ao Google, encontraram depois falhas do PHP2Shell de forma independente, também com ferramentas de IA.
Alguns dos problemas subjacentes haviam sido identificados em 2024, mas eram considerados difíceis demais de explorar. Sagi Tzadik, pesquisador da Wiz, disse que a equipe do PHP conhecia a vulnerabilidade havia anos, mas não a havia corrigido porque ela não podia ser explorada por um atacante humano. A IA ajudou a tornar explorável uma falha que antes era impraticável de usar.
Mais pressão, mas não invasões automáticas
O episódio mostra como a IA pode acelerar a análise e a exploração de vulnerabilidades, aumentando a pressão sobre equipes de segurança que já lidam com um grande volume de falhas. A WIRED observa que as atualizações de segurança da Microsoft incluíram um recorde de 1,453 vulnerabilidades naquele mês e que o Bank of America contratou 1,000 consultores para corrigir falhas encontradas pelo Mythos, da Anthropic.
Pesquisadores citados pela WIRED alertam para não presumir que a IA encontrará todas as falhas antigas. Ryan Austin, pesquisador da Calif, disse que nenhum modelo consegue encontrar todas as falhas com comandos simples; outros especialistas ressaltaram que a descoberta no PHP exigiu uma equipe experiente. Um pesquisador também observou que a ampla exposição do PHP à internet faz dele um alvo incomum — não uma prova de que todas as falhas antigas de software estejam prestes a se tornar exploráveis.
Por que importa
Para administradores responsáveis por sistemas PHP, o relato da WIRED é um motivo para levar a sério as falhas divulgadas publicamente: as tentativas começaram rapidamente, embora não haja relatos de ataques bem-sucedidos. Como a WIRED não especifica as versões afetadas nem as correções, os administradores precisarão consultar as orientações oficiais do PHP, em vez de tentar deduzir se seus sistemas estão vulneráveis.
