Pesquisadores das empresas de segurança Wiz e Calif usaram modelos de inteligência artificial do Google e da OpenAI para mostrar como explorar falhas de memória que estavam no PHP havia mais de uma década, segundo o Canaltech. A divulgação pública e o alerta mundial ocorreram nesta quarta-feira (21), com as correções já disponíveis.
As vulnerabilidades receberam os registros CVE-2026-109618 e CVE-2026-109619 e nota 9,2 de 10 em gravidade. Em certas situações, o PHP continuava usando informações de memória que já deveriam ter sido descartadas. Dependendo das condições do sistema, criminosos poderiam executar comandos maliciosos em servidores.
Uma semana de IA no lugar de meses de especialistas
A Wiz usou o Wiz Atlas, plataforma de pesquisa de segurança com IA da própria empresa, e o Gemini 4 Argon, do Google. De acordo com a Wiz, as ferramentas permitiram concluir a investigação em cerca de uma semana, trabalho que poderia exigir meses de especialistas. O Gemini teve papel na identificação das falhas, no desenvolvimento dos testes e na validação das correções.
A Calif, por sua vez, usou o GPT-5.6 Sol para identificar de forma independente um dos problemas, em uma iniciativa coordenada pela OpenAI. A parte difícil foi combinar diferentes falhas e adaptar os ataques à configuração de cada servidor. Os testes demonstraram invasões em instalações de WordPress, Drupal e Joomla.
Do alerta de 2024 à correção
O problema não era totalmente desconhecido. Em 2024, uma auditoria de segurança da Quarkslab levou um desenvolvedor do PHP a encontrar indícios de falhas no gerenciamento de memória, mas ainda não havia forma concreta de explorá-las. A PHP Foundation afirmou que as soluções discutidas traziam risco de incompatibilidade, perda de desempenho ou problemas para outras ferramentas, e que o número limitado de profissionais atrasou a correção. A fundação reconheceu falha na organização do processo.
Em 11 de agosto de 2026, pesquisadores da Calif e da OpenAI demonstraram formas de explorar a brecha. Em 19 de agosto, a Wiz identificou vulnerabilidades com auxílio de IA e, nos dias seguintes, comprovou ataques contra WordPress e Drupal. A empresa comunicou as descobertas à equipe do PHP em 24 de agosto. A divulgação estava prevista para 22 de outubro e foi antecipada para esta quarta, depois que informações sobre as falhas começaram a circular nas redes sociais. Cloudflare e Google também participaram das medidas de proteção.
Quem precisa atualizar agora
Foram publicadas quatro versões corrigidas: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A equipe da linguagem recomenda atualizar os servidores imediatamente. Como a falha está no PHP e não nos sistemas construídos sobre ele, atualizar apenas o WordPress ou seus plugins não resolve. Segundo a W3Techs, 69,3% dos sites cuja linguagem de servidor é conhecida usam PHP.
O alerta levou governos e empresas a retirar sites do ar de forma preventiva, segundo o Canaltech, que não nomeia quais. Quem mantém servidor próprio precisa instalar a versão corrigida. Quem hospeda o site com terceiros depende de o provedor fazer essa atualização. Especialistas ouvidos pelo veículo alertam que as mesmas ferramentas de IA podem ser usadas por criminosos para acelerar ataques contra servidores que continuarem sem correção.
