Quando a inteligência artificial encontrou uma falha no coração da internet
Duas vulnerabilidades críticas descobertas com auxílio de IA colocaram em alerta governos, hospitais, empresas e milhões de sites. O episódio revela tanto a fragilidade da infraestrutura digital quanto uma nova era na segurança da informação.
23 de outubro de 2026 · 8 minutos de leitura
Key Takeaway: A inteligência artificial ajudou pesquisadores a descobrir duas vulnerabilidades críticas no PHP, linguagem que sustenta grande parte da internet. A descoberta provocou uma mobilização global para proteger servidores e revelou um novo desafio: a IA pode acelerar tanto a identificação de falhas quanto sua exploração por criminosos. A boa notícia é que o AI-Talks.org, hospedado no WordPress.com, está protegido contra essas vulnerabilidades, segundo a própria plataforma.
Em 21 de outubro de 2026, uma notícia preocupante percorreu o mundo: sites governamentais, instituições financeiras, hospitais e serviços digitais começaram a ser retirados do ar em diversos países. O motivo não era um ataque cibernético convencional, mas a descoberta de duas vulnerabilidades críticas em uma linguagem de programação que sustenta boa parte da internet: o PHP.
A situação era particularmente inquietante porque as falhas haviam sido identificadas com o auxílio de sistemas avançados de inteligência artificial. Problemas que permaneceram durante anos no código de uma das tecnologias mais utilizadas da web finalmente haviam sido transformados em caminhos concretos de exploração.
As vulnerabilidades receberam o nome de PHP2Shell e uma classificação de gravidade de 9,2 em uma escala de 10.
Mas o que exatamente aconteceu? Por que uma falha em uma linguagem de programação pode ameaçar tantos sites? E qual foi o verdadeiro papel da inteligência artificial nessa descoberta?
O que é PHP e por que ele é tão importante?
Para compreender a gravidade do problema, precisamos entender como funciona uma página da internet.
Quando acessamos um site, nosso navegador envia uma solicitação a um servidor, que responde enviando os elementos necessários para apresentar a página. Em um site simples, isso pode envolver apenas arquivos HTML, responsáveis pela estrutura do conteúdo, e CSS, que determina sua aparência.
Entretanto, a internet moderna é muito mais dinâmica. Quando fazemos uma compra, acessamos uma conta bancária, publicamos um comentário ou consultamos um prontuário médico, o servidor precisa executar programas, consultar bancos de dados e gerar respostas específicas para cada usuário.
É aí que entra o PHP.
Criado originalmente por Rasmus Lerdorf em 1994, o PHP evoluiu para uma das linguagens de programação mais utilizadas no desenvolvimento de aplicações web. Seu nome atual é um acrônimo recursivo: PHP: Hypertext Preprocessor.
Diferentemente do JavaScript executado no navegador, o PHP tradicionalmente executa seus programas no servidor. O navegador recebe o resultado desse processamento, não o código PHP que produziu a resposta.
Imagine, por exemplo, que alguém abra um artigo neste blog, o AI-Talks.org. De maneira simplificada, o processo pode envolver quatro operações: o navegador solicita a página, o servidor executa os programas PHP do WordPress, esses programas recuperam o artigo de um banco de dados e o servidor devolve o HTML que será exibido ao visitante.
Tudo isso normalmente acontece em frações de segundo.
O PHP é, portanto, uma espécie de trabalhador invisível que opera nos bastidores da internet. Ele está presente em plataformas como WordPress, Drupal, Joomla e MediaWiki, software utilizado pela Wikipédia.
Segundo a W3Techs, em outubro de 2026 o PHP era empregado em aproximadamente 69,3% dos sites cuja linguagem de programação do lado do servidor podia ser identificada.
É uma participação impressionante. Mas existe uma distinção importante: isso não significa que 70% dos sites da internet estejam comprometidos ou necessariamente vulneráveis. Significa que uma falha no PHP tem o potencial de atingir uma parcela extraordinariamente grande da infraestrutura digital.
O que a inteligência artificial descobriu?
As duas vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, estão relacionadas ao gerenciamento da memória do computador e ao tratamento de erros dentro do próprio interpretador PHP.
O interpretador é o programa responsável por executar as instruções escritas na linguagem. Portanto, o problema não estava simplesmente em um site mal programado, mas em componentes fundamentais da tecnologia utilizada para executar aplicações.
A primeira falha envolve situações em que um programa esgota a memória disponível durante o processamento de uma solicitação. Nessas circunstâncias, determinadas estruturas internas podem ficar parcialmente inicializadas. Quando o sistema tenta encerrar a operação e liberar seus recursos, pode acabar tratando dados inválidos como se fossem legítimos.
A segunda envolve a utilização de referências a regiões de memória que já foram liberadas. Na linguagem da segurança computacional, esse tipo de problema é conhecido como use-after-free.
Uma analogia ajuda a compreender.
Imagine um hotel onde cada hóspede recebe uma chave para determinado quarto. Quando o hóspede vai embora, o quarto pode ser ocupado novamente. Agora imagine que o sistema continue tratando uma chave antiga como válida, permitindo que alguém interfira em recursos associados ao novo ocupante.
Em um computador, o problema é muito mais complexo, mas a ideia central é semelhante: informações internas continuam sendo utilizadas depois que os recursos aos quais se referiam deixaram de estar disponíveis.
Sob certas condições, um atacante pode explorar essas inconsistências para alterar o comportamento de um programa.
No caso do PHP2Shell, pesquisadores demonstraram que essas falhas podem permitir algo especialmente grave: execução remota de código sem autenticação, conhecida pela sigla RCE (Remote Code Execution).
Em termos simples, um invasor pode conseguir executar comandos no servidor sem precisar conhecer a senha de um usuário ou administrador.
Dependendo das permissões do processo comprometido, isso pode permitir acesso a informações confidenciais, alteração de páginas, instalação de programas maliciosos ou utilização do servidor como ponto de partida para outros ataques.
Não significa que qualquer pessoa possa automaticamente assumir o controle de qualquer servidor. A exploração depende da presença de versões vulneráveis e das características do ambiente. Mas o potencial de comprometimento é suficientemente grave para justificar uma resposta emergencial.
O papel da inteligência artificial
Talvez o aspecto mais extraordinário desse episódio seja a maneira como as vulnerabilidades foram investigadas.
A empresa de segurança Calif, trabalhando em uma iniciativa coordenada pela OpenAI, utilizou o modelo GPT-5.6 Sol para auxiliar na pesquisa. Paralelamente, a empresa Wiz realizou investigações independentes com ferramentas de IA que incluíram modelos da OpenAI e do Google DeepMind.
Esses sistemas ajudaram pesquisadores humanos a examinar o comportamento do interpretador, identificar condições perigosas e desenvolver testes capazes de demonstrar a exploração das falhas.
É importante compreender o que isso significa.
Encontrar uma vulnerabilidade complexa não é simplesmente identificar uma linha de código incorreta. Frequentemente é necessário compreender interações entre diversos componentes, reconstruir estados de memória, descobrir sequências específicas de eventos e demonstrar que determinado comportamento pode ser explorado.
Esse trabalho pode exigir enorme experiência técnica e meses de investigação.
Os modelos de IA ampliaram a capacidade dos especialistas para analisar essas relações, formular hipóteses e testar possibilidades.
A história também apresenta um detalhe revelador: a PHP Foundation reconheceu que sinais de um dos problemas já haviam sido identificados durante trabalhos de segurança em 2024. Na época, porém, não havia sido demonstrado um caminho concreto de exploração, e a implementação de uma correção estrutural acabou sendo adiada.
Portanto, a IA não criou a vulnerabilidade e tampouco descobriu, do nada, um problema inteiramente desconhecido. Sua contribuição decisiva foi ajudar a transformar fragilidades antigas e difíceis de explorar em ameaças concretas, demonstráveis e urgentes.
Essa distinção é fundamental. O episódio ilustra uma colaboração entre inteligência humana e artificial, e não a substituição dos pesquisadores por máquinas.
Por que governos e hospitais retiraram sites do ar?
Assim que a gravidade das vulnerabilidades se tornou pública, organizações de vários países iniciaram procedimentos emergenciais de segurança.
Segundo a Reuters, serviços de governos europeus, empresas e instituições públicas foram temporariamente desativados. Também ocorreram medidas preventivas em sistemas associados ao setor financeiro, transportes e serviços digitais no Japão.
A Wikimedia Foundation e o Internet Archive estiveram entre as organizações que adotaram medidas de proteção.
Isso não significa que todos esses sistemas tenham sido invadidos. Em muitos casos, desligar temporariamente um serviço foi uma decisão preventiva para evitar sua exposição enquanto as atualizações eram instaladas.
O problema, contudo, não permaneceu apenas no campo teórico.
A Cloudflare informou que o número de tentativas de exploração aumentou rapidamente após a divulgação pública das falhas, chegando à escala de milhões de tentativas detectadas. É importante distinguir uma tentativa de ataque de uma invasão efetivamente bem-sucedida.
No Brasil, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) publicou, em 21 de outubro, uma recomendação técnica orientando a atualização imediata das instalações afetadas.
As correções foram disponibilizadas nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Sistemas antigos que já não recebem manutenção regular exigem atenção especial.
Para servidores sob administração própria, a atualização é indispensável. Para sites hospedados em plataformas gerenciadas, a responsabilidade pela atualização do PHP geralmente pertence ao provedor.
Quando um ataque digital destrói alimentos: o caso francês
Na noite de 11 para 12 de outubro de 2026, centenas de supermercados franceses sofreram um ataque cibernético incomum. Hackers assumiram o controle de sistemas de refrigeração conectados à internet e alteraram remotamente os parâmetros de temperatura e degelo. Em alguns estabelecimentos, as temperaturas chegaram a 50 °C, provocando a perda de grandes quantidades de alimentos, danos a equipamentos e até incêndios.
As investigações apontaram problemas de segurança em controladores industriais utilizados por fabricantes como Danfoss, Copeland e Dixell. Muitos equipamentos estavam expostos diretamente à internet, com proteção insuficiente e, em alguns casos, software desatualizado.
Não há evidências de ligação entre esses ataques e as vulnerabilidades PHP2Shell, tampouco de que a inteligência artificial tenha participado diretamente das invasões.
Entretanto, os dois episódios revelam uma mesma fragilidade: nossa dependência de sistemas digitais cujo comprometimento pode ter consequências muito além dos computadores.
Quando um hacker consegue alterar remotamente a temperatura de uma câmara frigorífica, a segurança cibernética deixa de ser apenas uma questão de dados. Torna-se também uma questão de segurança física, econômica e alimentar.
Fontes: Reuters, ANSSI/CERT-FR e Financial Times.
A inteligência artificial também pode favorecer os atacantes?
Existe uma consequência inquietante nessa descoberta.
As mesmas ferramentas capazes de ajudar pesquisadores a encontrar vulnerabilidades também podem ampliar a capacidade de pessoas mal-intencionadas para procurá-las.
Historicamente, algumas falhas permaneciam sem exploração prática porque desenvolver um ataque funcional exigia conhecimentos especializados, tempo e recursos consideráveis.
Sistemas avançados de IA podem reduzir essas barreiras.
Isso altera a relação entre o custo de descobrir uma vulnerabilidade e o custo de corrigi-la.
Um modelo de IA pode auxiliar na investigação de milhares de possibilidades em pouco tempo. Entretanto, a correção de um problema estrutural pode exigir mudanças cuidadosamente testadas, compatibilidade com versões existentes e coordenação entre desenvolvedores e administradores de sistemas.
A PHP Foundation reconheceu publicamente que o atraso na solução de problemas identificados anteriormente refletia limitações de recursos e dificuldades em seu processo de tomada de decisões.
Existe aqui uma assimetria preocupante: podemos estar entrando em uma época na qual vulnerabilidades são descobertas mais rapidamente do que as instituições responsáveis conseguem corrigi-las.
Por outro lado, a mesma inteligência artificial oferece aos defensores ferramentas para acelerar auditorias, desenvolver testes e encontrar problemas antes que sejam utilizados criminosamente.
A tecnologia, portanto, não determina sozinha o resultado. O que importa é a capacidade de utilizá-la para tornar os sistemas mais seguros e responder rapidamente às novas ameaças.
Conclusão pessoal: e o AI-Talks.org? Meu site está seguro?
Naturalmente, ao acompanhar essa notícia, uma das primeiras perguntas que me fiz foi bastante prática: e o meu próprio site?
O AI-Talks.org utiliza WordPress, uma plataforma construída sobre PHP e, portanto, diretamente relacionada à tecnologia envolvida nessa crise.
A boa notícia é que o site está hospedado no WordPress.com, que oferece infraestrutura gerenciada. Em um comunicado oficial publicado em 21 de outubro de 2026, a plataforma informou que todos os sites hospedados em seus serviços já estavam protegidos contra essas vulnerabilidades e que seus proprietários não precisavam realizar atualizações adicionais de PHP.
Portanto, segundo a confirmação oficial do WordPress.com, o AI-Talks.org está protegido contra as duas falhas do PHP2Shell. Isso não equivale, naturalmente, a uma garantia absoluta contra qualquer incidente de segurança.
A situação me parece um bom exemplo de como a infraestrutura digital moderna depende de sistemas e equipes que raramente vemos. Ao publicar um artigo, normalmente não penso nos milhares de detalhes técnicos que tornam possível sua leitura em qualquer lugar do mundo.
Entretanto, eles estão sempre presentes.
Acompanhando há anos a evolução da inteligência artificial, considero esse episódio particularmente significativo. Estamos habituados a discutir as capacidades da IA para escrever, programar, criar imagens ou auxiliar na pesquisa científica. Agora vemos esses sistemas desempenhando um papel cada vez mais relevante na descoberta de fragilidades fundamentais da própria infraestrutura computacional.
Há algo paradoxal nisso: uma tecnologia que pode ampliar enormemente nossa capacidade de proteger os computadores também pode acelerar a descoberta de maneiras de atacá-los.
O PHP2Shell talvez venha a ser lembrado menos pelos sites temporariamente desligados e mais como um marco nessa transformação.
A pergunta que fica não é apenas se a inteligência artificial será capaz de encontrar vulnerabilidades cada vez mais complexas.
É se conseguiremos construir e manter sistemas suficientemente seguros em um mundo no qual a velocidade da descoberta começa a ultrapassar nossa capacidade de reação.
Fontes e leitura complementar
- PHP Foundation — Relatório oficial sobre as vulnerabilidades e a resposta institucional
- PHP — Comunicado oficial de segurança e versões corrigidas
- OpenAI — Patch the Planet e descoberta de vulnerabilidades com IA
- Wiz Research — Análise técnica do PHP2Shell
- Reuters — Sites retirados do ar após descoberta das falhas
- WordPress.com — Confirmação de proteção dos sites hospedados
- CTIR Gov — Recomendação Técnica 19/2026
Maurício Veloso Brant Pinheiro, PhD
Professor of Physics, Federal University of Minas Gerais (UFMG)
Founder, Author and Editor, AI-Talks.org
About Us
Editorial transparency note: This article, as with all articles published on this site, was conceived, directed, written, and reviewed by Prof. Maurício Veloso Brant Pinheiro. Artificial intelligence was used as an assistant for editorial refinement, formatting, image generation, SEO metadata, and publication workflow.
Copyright 2026 AI-Talks.org
