Vulnerabilidades antigas do PHP passaram a ser exploradas por criminosos poucas horas depois de serem divulgadas, em um episódio que mostrou como ferramentas de inteligência artificial podem acelerar tanto a descoberta quanto o uso de falhas de segurança. Uma análise da Cloudflare registrou milhões de tentativas de exploração, embora não haja confirmação de invasões bem-sucedidas relacionadas ao caso.
As falhas foram reunidas sob o nome PHP2Shell. Segundo a PHP Foundation, até o momento não havia evidências de exploração bem-sucedida. Pesquisadores também avaliaram que várias das ferramentas de ataque que circulavam publicamente não funcionavam.
IA ajudou a transformar falhas antigas em risco imediato
As vulnerabilidades foram identificadas inicialmente no começo de agosto pela empresa de segurança Calif, em parte com o uso de ferramentas avançadas de IA dentro do programa Patch the Planet, da OpenAI. O trabalho também dependeu de conhecimento especializado sobre o PHP, seu funcionamento e seus pontos fracos.
Parte dos problemas subjacentes já era conhecida desde 2024, mas havia sido considerada complexa demais para ser explorada de forma prática. Depois da descoberta da Calif, pesquisadores da OpenAI e da empresa de segurança Wiz, controlada pelo Google, encontraram de forma independente falhas relacionadas usando ferramentas de IA.
De acordo com a reportagem da WIRED, o caso indica uma mudança importante: um problema pode permanecer conhecido por anos sem representar uma ameaça prática e, depois, tornar-se explorável com o auxílio de modelos capazes de analisar código e testar caminhos de ataque com mais rapidez.
A avaliação não significa que os sistemas de IA estejam encontrando automaticamente todas as vulnerabilidades. Pesquisadores envolvidos no caso ressaltaram que os resultados dependeram de especialistas humanos. Ryan Austin, da Calif, afirmou que nenhum modelo é capaz, por enquanto, de descobrir todos os bugs apenas a partir de comandos simples.
Pressão sobre equipes de segurança
O episódio aumenta a pressão sobre desenvolvedores, administradores de sistemas e equipes de tecnologia que precisam acompanhar correções em um volume crescente de problemas. As atualizações de segurança da Microsoft incluíram 1.453 vulnerabilidades neste mês, segundo o material publicado pela WIRED. O Bank of America também contratou 1.000 consultores para corrigir falhas identificadas pelo sistema Mythos, da Anthropic.
Pesquisadores ouvidos pela publicação afirmam que a IA amplia uma dinâmica já existente na descoberta de vulnerabilidades e na divulgação coordenada, mas não cria necessariamente uma nova categoria de ataque. Jake Williams, da Hunter Strategy, avaliou que falhas antigas continuarão a aparecer, embora o PHP tenha uma exposição particularmente ampla por ser usado em ferramentas acessíveis pela internet.
O alcance futuro desse tipo de descoberta ainda é incerto. Para Niels Provos, engenheiro de segurança e pesquisador, o episódio exigiu uma equipe altamente qualificada e não indica, por si só, uma onda inevitável de falhas históricas que passarão a ser exploráveis.
