Modelos de IA expuseram uma falha que a OpenAI considera “das mais graves”. De um rastreador de sono Pokémon ao parlamento neerlandês, sites desligaram‑se para antecipar ataques.
A Inteligência artificial revelou duas falhas críticas de segurança em PHP, uma linguagem de programação que alimenta discretamente grande parte da internet, levando organizações em todo o mundo a apressarem-se a desligar sites antes de estes serem explorados por piratas informáticos.
PUBLICIDADE
PUBLICIDADE
As vulnerabilidades passaram mais de uma década despercebidas no código de PHP. Foram precisos modelos de IA de última geração da OpenAI e da Google para transformar uma fragilidade há muito suspeitada num ataque funcional – e agora corre-se contra o tempo para fechar a porta.
Num momento em que a rápida evolução da IA alimenta receios de uma nova era de ciberataques, eis o que precisa de saber.
Europa reage
Os Países Baixos retiraram do ar o sistema de identidade digital DigiD, o portal governamental Overheid.nl e o site da câmara baixa do parlamento; o Porto de Roterdão, vários hospitais e os cinco maiores partidos políticos do país seguiram o exemplo.
Até o Centro Nacional de Cibersegurança dos Países Baixos desligou o seu próprio site.
Na Finlândia, o fornecedor estatal de TI Valtori suspendeu em bloco os serviços digitais do governo “como medida de precaução”. O Ministério do Interior francês colocou os sites das administrações locais em modo de manutenção e o serviço federal de TI alemão, ITZBund, desligou vários portais.
O CERT-EU, o serviço de cibersegurança das instituições europeias, foi mais longe e recomendou que todas as organizações incapazes de aplicar a correção de imediato retirassem os seus sites da internet em vez de arriscarem um ataque.
A Comissão Europeia, a ENISA, o CERT-EU, a Europol e a rede de equipas nacionais de resposta a incidentes da UE divulgaram ainda um comunicado conjunto a apelar a uma intervenção imediata, com prioridade para os sistemas expostos à internet.
PHP: o que é e porque é importante
Criado no início da década de 1990, o PHP era originalmente a sigla de Personal Home Page e é o código que funciona nos bastidores de cerca de sete em cada dez sites, segundo a empresa de segurança Wiz Research, que o descreve como “uma espinha dorsal da web”.
Enquanto linguagens como o HTML tratam do que se vê numa página, o PHP trata do que não se vê: valida logins, processa pagamentos, disponibiliza conteúdos.
Suporta o WordPress, o Drupal e o Joomla, plataformas que alimentam desde blogues pessoais a lojas online e portais governamentais.
O alcance dessa linguagem é o que transforma duas falhas num acontecimento global. A Wiz afirma que todas as versões de PHP lançadas na última década são afetadas por pelo menos uma das vulnerabilidades e que até uma simples página “Hello World” num servidor sem correções pode estar em risco.
Uma correção foi disponibilizada na quarta-feira, e a Fundação PHP avisou os departamentos de tecnologia de todo o mundo de que “quem utilizar PHP tem de atualizar imediatamente”.
Entre as versões corrigidas contam-se o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Todas as anteriores deixaram de receber atualizações oficiais e devem ser consideradas expostas, salvo se o fornecedor tiver adaptado a correção, advertiu a equipa de resposta a emergências de cibersegurança da União Europeia (CERT-EU) numa nota.
O resultado foi uma vaga de aplicações e sites a ficarem indisponíveis, do portal da polícia de Paris a um rastreador de sono de Pokémon, enquanto os programadores atualizam o código subjacente. Vários sites governamentais em toda a Europa foram igualmente retirados do ar por precaução.
Como a IA encontrou as falhas
As duas vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619 e classificadas com 9,2 em 10 em termos de gravidade, situam-se em componentes do PHP por onde passa quase todos os pedidos: a gestão de memória e o tratamento de erros.
Se um pedido web atingir o limite de memória do PHP exatamente no momento errado, o software pode ser enganado e acabar a executar código de um atacante, sem necessidade de autenticação.
A Fundação PHP reconhece que foram os seus próprios programadores a detetar os primeiros sinais do problema em 2024, durante uma auditoria externa.
Um possível exploit teórico chegou a ser delineado, mas, sem um caminho claro para um ataque e com uma pequena equipa central a ponderar os custos de uma correção, o trabalho foi sendo interrompido e retomado ao longo de vários meses. A fundação descreveu o atraso como “uma falha estrutural”.
Até que entrou a IA em cena. Em agosto, a empresa de segurança Calif, que realizava uma auditoria ao código-fonte do PHP financiada pela OpenAI e recorria ao modelo GPT-5.6 Sol, apresentou um ataque remoto totalmente funcional com a mesma causa de raiz.
A OpenAI assinalou de forma independente o mesmo problema nesse dia. Duas semanas depois, a Wiz apresentou vetores de ataque adicionais, utilizando a sua própria ferramenta Wiz Atlas em conjunto com o Gemini 4 Argon da Google e o GPT-5.6 Sol.
“Com modelos de IA de fronteira e as ferramentas certas, um único investigador fez em uma semana o que antes exigiria meses de trabalho de uma equipa de topo”, escreveram os investigadores da Wiz.
A OpenAI classificou a descoberta como “uma das vulnerabilidades com maior impacto dos últimos tempos”, acrescentando que “marca uma nova fase, em que a IA consegue encontrar falhas de segurança com impacto à escala da internet”.
As conclusões foram mantidas sob reserva enquanto se desenvolvia a correção.
Mas, na tarde de terça-feira, os dois identificadores CVE acabaram por surgir em fóruns online e nas redes sociais.
O PHP antecipou o lançamento da atualização em um dia e a Calif publicou por engano – e depois apagou – um vídeo em que mostrava a sua prova de conceito a funcionar contra vários alvos, revelou a Fundação PHP. As cópias espalharam-se rapidamente.
“O problema de ferramentas como a IA é que, assim que toda a informação está disponível, as pessoas conseguem transformá-la em arma muito, muito depressa”, explicou à AFP Steve Kerrison, professor de cibersegurança no campus de Singapura da Universidade James Cook.
“É por isso que toda a gente está a reagir com tanta urgência a este problema.”
Sites já foram atacados?
Nem por isso. “Retirar sites da internet não significa necessariamente que tenham sido atacados. Pode ser uma medida responsável para proteger sistemas enquanto se aplicam atualizações de segurança”, comentou Dimitrios Salampasis, da Swinburne University of Technology, na Austrália.
A Fundação PHP afirmou que a sua equipa de segurança analisou o código de prova de conceito que começou a circular após a fuga de informação e não encontrou qualquer exploit funcional na altura da publicação.
“Os indícios que os especialistas em segurança estão a observar sugerem que ninguém estava a realizar ataques ativos com as técnicas disponíveis”, acrescentou Kerrison.
Ainda assim, o cenário está a mudar. A empresa de infraestrutura web Cloudflare afirmou na quarta-feira ter detetado tráfego de ataque dirigido a clientes, e o CERT-EU alertou que a divulgação pública de detalhes técnicos aumenta a probabilidade de os atacantes já estarem a testar as falhas.
As instituições de maior dimensão, de organismos públicos a meios de comunicação, deverão conseguir aplicar as correções de forma relativamente rápida. Outras podem ficar expostas durante muito mais tempo.
“Há sites, sistemas e pessoas por aí que não fazem ideia do que está a acontecer e que continuarão sem saber durante dias, semanas e meses”, alertou Kerrison.
Isso pode incluir blogues geridos por utilizadores e sites de pequenas empresas, que piratas informáticos podem sequestrar para espalhar vírus informáticos, enviar spam ou alojar conteúdos maliciosos.
Que outras consequências pode haver?
Qualquer fuga de dados pode continuar a afetar clientes muito depois da correção, se a sua informação pessoal for recolhida para campanhas de phishing – em que alguém é enganado a fornecer uma palavra-passe ou dados de pagamento.
A natureza interligada e complexa dos sistemas online significa também que o risco não termina quando se atualiza o próprio servidor. Muitos sites dependem de serviços de terceiros que podem igualmente utilizar PHP.
Se esses terceiros demorarem a aplicar a correção, “então, mesmo que tenha atualizado o seu sistema... continua vulnerável”, afirmou Rahat Masood, professor sénior de cibersegurança na Universidade de New South Wales, em Sidney.
O PHP não é toda a história, acrescentou Kerrison. Uma cibersegurança robusta implica várias camadas de defesa, para que uma única fechadura avariada não abra todas as portas.
A Fundação PHP, por sua vez, está a aproveitar o episódio para deixar um apelo claro. A linguagem suporta serviços públicos, bancos e lojas online em todo o mundo, mas a sua segurança continua a depender de um pequeno grupo de programadores financiados pela fundação e de voluntários.
A fundação sublinha que as ferramentas atuais conseguem encontrar falhas mais depressa do que nunca, mas escolher a forma de as corrigir sem partir a web exige engenheiros experientes.