Modelos de IA de ponta ajudaram a expor falhas 'PHP2Shell' no núcleo do PHP; OpenAI propõe plano de divulgação em cinco etapas

Em 21 de outubro de 2026 o projeto PHP lançou versões corrigidas para falhas de segurança de memória no motor central da linguagem, e a Wiz Research as divulgou com o nome PHP2Shell.

As falhas

• Estão agrupadas em dois CVEs, com gravidade de até CVSS 9.2. Segundo a Wiz, permitem execução remota de código sem autenticação e a leitura da memória do servidor, que pode conter senhas, tokens e chaves de API.
• A Wiz afirma que todas as versões do PHP desde a 5.4 são afetadas por pelo menos uma das falhas. Ela demonstrou ataques funcionais contra WordPress, Drupal e Joomla, mas ressalta que o problema está no próprio PHP. Segundo a Wiz, o PHP roda em cerca de 70% dos sites.
• A única correção completa é atualizar o PHP. Provedores de nuvem e CDN prepararam mitigações temporárias para quem não puder atualizar de imediato.

O papel da IA

A Wiz diz que usou sua ferramenta Wiz Atlas, além de Gemini 4 Argon e GPT-5.6 Sol, e que os modelos tornaram viável encadear as falhas em exploits em horas, trabalho que descreve como “no limite do que pesquisadores humanos conseguiriam na prática”. Separadamente, um pesquisador da empresa Calif encontrou uma das falhas com o GPT-5.6 Sol no programa Patch the Planet da OpenAI.

O plano da OpenAI

A OpenAI usou o caso para propor um processo em cinco etapas para falhas achadas por IA que atingem muitos produtos ao mesmo tempo: confirmar e corrigir (inclusive usando modelos de ponta para procurar formas de contornar o patch), dar vantagem a distribuidores e provedores de hospedagem, envolver órgãos governamentais de resposta, ampliar o círculo e publicar orientações. No caso do PHP, segundo a Help Net Security, participaram o Escritório do Diretor Nacional de Cibersegurança dos EUA e a CISA. A OpenAI espera que achados assim “aumentem acentuadamente nos próximos meses” e pede opiniões da comunidade de segurança.