A OpenAI usou o modelo GPT-5.6 Sol para demonstrar, em cerca de duas semanas, como explorar uma falha crítica de segurança do PHP que programadores não conseguiram resolver desde 2024, segundo reportagem do Canaltech publicada nesta quinta-feira (22). A vulnerabilidade está entre duas falhas de gravidade 9,2, em uma escala de 0 a 10, corrigidas em atualizações da linguagem divulgadas na quarta-feira (21).
A brecha está ligada ao gerenciamento de memória do PHP e permite a execução remota de código malicioso em servidores sem a necessidade de senha, de acordo com a Calif, empresa de segurança que documentou o caso junto com a PHP Foundation, organização que mantém a linguagem usada em grande parte dos sites da internet. A falha havia sido apontada em 2024 por uma auditoria da Quarkslab, mas sem uma demonstração concreta de como explorá-la na prática.
Dois anos sem solução
A PHP Foundation reconheceu que chegou a desenvolver várias propostas de correção desde 2024, mas nenhuma delas avançou, segundo o Canaltech. Os motivos apontados foram problemas de compatibilidade com sistemas existentes, risco de criar novas brechas de segurança e a necessidade de alterar extensões usadas por desenvolvedores. A falta de uma prova de exploração concreta também reduziu a prioridade do problema dentro da organização.
Esse quadro mudou quando a Calif entrou no programa Patch the Planet, da OpenAI, e começou a investigar a falha em 30 de julho de 2026. Em 1º de agosto, a equipe já tinha encontrado uma forma de explorá-la com o apoio do GPT-5.6 Sol. Em 11 de agosto, o pesquisador Ryan Austin comunicou o achado à PHP Foundation, no mesmo dia em que pesquisadores da própria OpenAI chegaram à mesma vulnerabilidade de forma independente. A PHP Foundation confirmou o funcionamento da exploração em 15 de agosto.
Como a IA chegou à exploração
Austin afirmou que o modelo não encontrou a falha sozinho a partir de comandos genéricos. Segundo ele, foi necessário orientar a ferramenta com conhecimento técnico sobre vulnerabilidades antigas do PHP, registradas em 2004 e em 2020, para guiar a análise até o ponto certo do código. O resultado mostra que modelos de linguagem já aceleram a análise de segurança, mas ainda dependem de um especialista para apontar o caminho.
O que muda para quem mantém sites em PHP
O PHP é a base de boa parte dos sites em funcionamento no mundo, o que torna a correção dessas duas falhas uma prioridade para empresas, bancos e órgãos públicos que rodam sistemas na linguagem. As atualizações para as versões afetadas estão disponíveis desde quarta-feira (21), e o prazo para aplicá-las tende a ser curto diante da gravidade 9,2 atribuída às duas brechas.
O episódio também mostra que ferramentas como o GPT-5.6 Sol passam a ser usadas tanto por quem defende sistemas quanto por quem pode atacá-los. Uma falha que levou dois anos para ganhar uma demonstração prática foi destravada em duas semanas com apoio de IA, o que reduz o tempo entre a descoberta de uma vulnerabilidade antiga e sua exploração em servidores reais.
