A empresa de segurança Wiz Research divulgou um conjunto de vulnerabilidades críticas no mecanismo PHP principal em 21 de outubro de 2026, alertando que as falhas – apelidadas coletivamente de PHP2Shell – permitem a execução remota de código não autenticado e a divulgação de memória no estilo Heartbleed no software que alimenta cerca de 70 por cento de todos os sites. O projeto PHP lançou patches no mesmo dia, e Wiz está pedindo atualizações imediatas em toda a enorme base instalada da web.
PHP é a espinha dorsal de grande parte da Internet: ele alimenta WordPress, Joomla, Drupal e MediaWiki, o software que executa a Wikipedia. Crucialmente, os bugs recentemente divulgados residem no mecanismo central do PHP, e não em qualquer aplicativo construído sobre ele, o que significa que os sites podem ser expostos mesmo quando o código do seu próprio aplicativo é seguro. Para mais contexto sobre esta história, confira nossa últimos desenvolvimentos em IA.
Quais são as vulnerabilidades
De acordo com o artigo técnico do Wiz feito pelos pesquisadores Sagi Tzadik, Shir Tamari, Nir Ohfeld e Tomer Schwartz, todos os bugs divulgados são problemas de segurança de memória enraizados em como o PHP lida com erros fatais durante o processamento de solicitações – particularmente erros de falta de memória. Uma solicitação com falha pode deixar para trás o estado interno do PHP corrompido, e uma solicitação ou trabalho posterior que reutiliza esse estado obsoleto pode desencadear divulgação ou corrupção de memória.
Os achados foram agrupados em dois CVEs com gravidade máxima de CVSS 9.2:
- CVE-2026-109618 — um desserializador de progresso de upload, usado após livre, que um invasor pode aproveitar para divulgação remota de memória de processo e, em cadeias demonstradas, execução remota completa de código. Wiz demonstrou divulgação não autenticada de memória de trabalho PHP e RCE de pré-autenticação em WordPress, Drupal e Joomla.
- CVE-2026-109619 — um backtrace de erro fatal use-after-free combinado com uma confusão do tipo OPcache, que também demonstrou produzir execução remota de código pré-autenticação em Drupal e WordPress.
A memória que os invasores podem ler pode conter senhas, tokens de autenticação, chaves de API e certificados pertencentes a outras solicitações ou ao próprio servidor, disse Wiz. Cada versão do PHP lançada na última década – desde o PHP 5.4 – é afetada por pelo menos uma das vulnerabilidades, e a empresa afirma que elas estão entre as falhas mais graves já encontradas no PHP.
Onde entra a IA
A afirmação mais importante no relatório de Wiz não é sobre PHP – é sobre o que os modelos de IA de fronteira fizeram para explorar o desenvolvimento.
As falhas subjacentes, escreve Wiz, estavam presentes há décadas, mas provar a capacidade de exploração exigia “uma cadeia de etapas excepcionalmente complexa, no limite do que os pesquisadores humanos poderiam alcançar na prática”. A exploração teve que encadear múltiplas falhas e se adaptar ao layout de memória de cada alvo por meio de repetidos testes e depuração.
Os modelos Frontier AI, diz a empresa, reduziram substancialmente essa barreira – “transformar uma falha de longa data em uma exploração” – e permitiram que a equipe de Wiz desenvolvesse e adaptasse explorações funcionais em vários aplicativos em horas, em vez de semanas.
“À medida que o tempo e a experiência necessários para este trabalho diminuem, a complexidade pode deixar de constituir uma barreira significativa, mudando a forma como definimos o que é vulnerável na prática”, escreveram os investigadores.
Um ponto de viragem na era da IA?
Wiz enquadra explicitamente o PHP2Shell ao lado de dois momentos decisivos anteriores na segurança da web: Heartbleed em 2014, que expôs a fragilidade da infraestrutura compartilhada que protege a Internet, e Log4Shell em 2021, que revelou como as dependências de software profundamente incorporadas criam uma exposição generalizada. A empresa argumenta que o PHP2Shell poderia marcar um ponto de viragem semelhante – desta vez ilustrando como a IA muda a exploração prática de fraquezas conhecidas há muito tempo.
Esse enquadramento é importante além do PHP. Vulnerabilidades teóricas que estavam seguramente fora do alcance porque a sua exploração era demasiado difícil, demasiado lenta ou demasiado especializada podem agora estar ao alcance de atacantes com bons recursos e armados com ferramentas de IA – uma mudança com implicações óbvias para os orçamentos de defesa, cadências de patches e prazos de divulgação em toda a indústria de software.
Uma solução coordenada entre setores
A divulgação foi coordenada. Wiz agradeceu à equipe PHP e à OpenAI por seu trabalho na descoberta, coordenação e verificação de patches, observando que tanto a OpenAI quanto a PHP publicaram seus próprios artigos técnicos sobre o histórico da vulnerabilidade e o processo de divulgação.
Um grupo intersetorial — incluindo Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft e Vercel — preparou orientações e mitigações prontas para uso para clientes que não conseguem corrigir imediatamente. A Cloudflare anunciou separadamente em 21 de outubro que implantou proteções WAF contra vulnerabilidades de PHP para seus clientes.
O que os proprietários de sites devem fazer
O conselho de Wiz é direto: corrija imediatamente. O projeto PHP lançou correções para vulnerabilidades de segurança de memória em 21 de outubro de 2026, e todas as implantações de PHP suportadas devem ser atualizadas o mais rápido possível.
As organizações que não conseguem corrigir imediatamente devem aplicar as mitigações publicadas pelos seus provedores de CDN, hospedagem ou WAF, vários dos quais enviaram regras direcionadas às cadeias de exploração no primeiro dia. Os administradores de frotas WordPress, Drupal e Joomla devem tratar isso como um ciclo de patch prioritário: Wiz demonstrou execução remota de código pré-autenticação em todas as três plataformas, e os caminhos de código vulneráveis existem independentemente de quão bem mantidos sejam os aplicativos acima deles.
A lição mais profunda pode ser aquela que o próprio Wiz tirou: quando a IA pode comprimir meses de engenharia de exploração em horas, a definição de trabalho da indústria de “praticamente explorável” – e com ela, o significado de cronogramas de patches responsáveis – acaba de mudar.
---
Fique à Frente da IAAs últimas notícias, análises e avanços em inteligência artificial — tudo em um só lugar.
Ler mais notícias de IA →
