A Fundação PHP confirmou que a vulnerabilidade de segurança detectada por inteligência artificial provocou a retirada preventiva de sites em diversos países a partir de quarta‑feira (21). A falha permite que invasores assumam o controle de servidores sem necessidade de login ou senha, e a correção já está disponível, porém seu desenvolvimento foi atrasado por falta de recursos.
Atraso na correção
A fundação explicou que o trabalho de correção foi interrompido e retomado várias vezes ao longo de meses. O atraso decorreu de três fatores: dificuldades no processo de decisão da equipe de segurança, ausência de método conhecido para exploração remota e sobrecarga dos poucos desenvolvedores especializados.
Impacto global e no Brasil
Desde o dia 21, governos e empresas de diferentes países retiraram sites do ar como medida preventiva. No Brasil, a Anatel e tribunais suspenderam o acesso ao Sistema Eletrônico de Informações (SEI) por precaução, sem relatos de grandes impactos até o momento.
Papel da IA na detecção
A fundação utiliza ferramentas de IA, como o Claude Mythos, para analisar códigos e validar relatos de falhas. Embora ajudem a identificar problemas rapidamente, a IA não define a melhor forma de estruturar correções. Vulnerabilidades semelhantes foram também identificadas independentemente por Calif, OpenAI e a empresa de segurança Wiz, que usou os modelos Gemini 4 Argon (Google) e GPT‑5.6 Sol (OpenAI) para encontrar formas de exploração.
"rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites", afirmou Thiago Ayub, diretor de tecnologia da Sage Networks.
"Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software", disse a Wiz.
"Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas [sem o uso da IA]", completou a empresa.
