Vulnerabilidades do PHP2Shell mostram como IA acelera exploração de falhas antigas

O que aconteceu

Nas últimas semanas, equipes de segurança e administradores de servidores correram para aplicar patches em um conjunto de falhas do PHP↳PHP44 conteúdosPadronizando seu código com PHP CS FixerDev (Back & Front) · mai 2019Docker de imagem. Para rodar projetos PHP em menos de 30 segundosDev (Back & Front) · jan 2026PHP 7.3: conheça as novidades desta versãoDev (Back & Front) · abr 2019Ver tudo em Dev (Back & Front) → batizado de PHP2Shell. Segundo análise da Cloudflare, milhões de tentativas de exploração chegaram em questão de horas após a divulgação pública das vulnerabilidades, de acordo com a reportagem da Wired.

Até o momento da publicação da Wired, o cenário catastrófico não se confirmou: a PHP Foundation afirma não ter registrado nenhuma exploração bem-sucedida das falhas, e boa parte dos exploits que circulam publicamente se mostrou ineficaz. Mas o episódio chamou atenção por um motivo diferente do habitual pânico de patch: o papel de modelos de IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → avançados em transformar uma vulnerabilidade conhecida havia anos em crise de fato explorável.

Em resumo: o bug não era novo. O que mudou foi a velocidade e a profundidade com que ele pôde ser analisado e transformado em exploit funcional.

Como a IA entrou na história

Pesquisadores da empresa de segurança Calif foram os primeiros a identificar as falhas do PHP2Shell e criar exploits funcionais no início de agosto, usando ferramentas de IA de ponta como parte do programa Patch the Planet, da OpenAI, combinadas com conhecimento humano especializado sobre o PHP e suas particularidades internas. Parte dos problemas subjacentes já havia sido identificada em 2024, mas foi considerada complexa demais para ser explorada na época.

Após a descoberta da Calif, pesquisadores da própria OpenAI e da Wiz, empresa de segurança do Google, encontraram de forma independente falhas do PHP2Shell usando ferramentas de IA. Sagi Tzadik, pesquisador de segurança da Wiz, resumiu o problema:

A vulnerabilidade era conhecida pela equipe do PHP havia anos, mas como não podia ser explorada por um atacante, pelo menos não um atacante humano, ela não foi corrigida.

The vulnerability had been known to the PHP team for years, but because it could not be leveraged by an attacker—at least, not a human one—it was not addressed.Sagi Tzadik, pesquisador de segurança na Wiz

Ou seja: o risco técnico já existia no código. O que faltava era alguém, ou algo, capaz de montar a cadeia de exploração até o fim.

O padrão que especialistas enxergam

Jake Williams, vice-presidente de pesquisa e desenvolvimento na Hunter Strategy e ex-hacker da NSA, descreve o PHP2Shell como parte de uma tendência maior, mas aponta um limite importante para ela:

Vamos definitivamente ver mais desses bugs de vida longa que estão em toda versão do software há uma década ou mais. Mas acho que há um limite para essa fruta madura. Não existe muita coisa com o alcance específico do PHP. É uma superfície de ataque bem selvagem, a maioria das outras ferramentas não está exposta à internet por design.

We'll definitely see more of these long-life bugs that are in every version of the software for the last decade or whatever. But I think there's only so much of this low-hanging fruit. There isn't much else that has the specific reach of PHP. It's a pretty wild attack surface, most other tools aren't exposed to the internet by design.Jake Williams, VP de pesquisa e desenvolvimento na Hunter Strategy

O argumento central é que a IA não está criando um tipo de vulnerabilidade novo. Ela está acelerando um processo de descoberta que já existia, e fazendo isso de forma mais rápida sobre um universo específico de software com décadas de código acumulado e exposição direta à internet, como é o caso do PHP.

Humano ainda é necessário, dizem os próprios pesquisadores

Ryan Austin, o pesquisador da Calif que descobriu as falhas originalmente, publicou um aviso contra o exagero na leitura do caso:

Nenhum modelo é simplesmente capaz de desenterrar 'todos os bugs' com prompts simples. Pelo menos por enquanto.

No model is simply capable of unearthing 'all bugs' with simple prompts. At least for now.Ryan Austin, pesquisador na Calif

Niels Provos, engenheiro e pesquisador de segurança, vai na mesma direção e relativiza o temor de uma onda descontrolada de falhas antigas reativadas por IA:

Para ser sincero, não estou muito preocupado. As pessoas já estão procurando com IA há mais de um ano, e foi preciso um time altamente qualificado para achar esse bug. Acho que vamos ver se estou completamente errado, mas duvido.

Niels Provos, engenheiro e pesquisador de segurança

A escala do problema não é só o PHP

O caso PHP2Shell não é um evento isolado no calendário de outubro de 2026. Segundo a Wired, as atualizações de segurança da Microsoft deste mês incluíram um recorde de 1.453 vulnerabilidades corrigidas de uma só vez. Em outro caso citado pela reportagem, o Bank of America contratou mil consultores para corrigir falhas encontradas pelo Mythos, sistema de segurança da Anthropic.

O retrato que esses três episódios formam juntos é consistente: ferramentas de IA estão ampliando o volume de vulnerabilidades encontradas em paralelo em múltiplas organizações, pressionando equipes de segurança e desenvolvimento que já operam com recursos limitados. Isso vale tanto para quem caça bugs quanto para quem precisa corrigi-los depois.

O que muda para quem desenvolve em PHP no Brasil

PHP ainda sustenta uma fatia enorme da web brasileira, de instalações legadas de WordPress a sistemas corporativos construídos em Laravel ou em frameworks próprios mais antigos. O caso PHP2Shell deixa um ponto prático bem concreto: código que rodava sem incidentes por anos pode estar sentado sobre uma falha conhecida, mas antes considerada impraticável de explorar.

Para quem mantém aplicações PHP em produção, três mudanças de postura fazem sentido a partir deste caso:

• Revisar o histórico de CVEs do PHP e de bibliotecas de terceiros mesmo quando foram classificadas como de baixo risco prático no passado, já que essa classificação pode mudar com ferramentas de análise mais capazes.
• Priorizar velocidade de patch acima de ciclos de homologação longos em componentes expostos diretamente à internet, dado que a janela entre divulgação e exploração em massa já se mede em horas.
• Monitorar tentativas de exploração ativamente (como fez a Cloudflare no caso do PHP2Shell) em vez de depender só da aplicação do patch como linha de defesa única.

O episódio não prova que a IA criou uma categoria nova de ameaça. Prova que o tempo entre "bug teórico conhecido" e "exploit funcional em produção" ficou mais curto, e que esse intervalo tende a continuar encolhendo em qualquer stack com superfície de ataque grande o suficiente para valer o esforço computacional.

Fonte: Wired