A falha php2shell e o papel da IA na segurança do código aberto

Em 21 de outubro de 2026, o projeto PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para corrigir duas vulnerabilidades críticas de execução remota de código, batizadas de "php2shell". As falhas, registradas como CVE-2026-109618 e CVE-2026-109619 e avaliadas pela equipe de segurança com pontuação CVSS v4.0 de 9,2, envolvem um tratamento incorreto do esgotamento de memória e uma condição de use-after-free no processamento de requisições web. Segundo as orientações da CISA, o problema afeta configurações que servem tráfego web, enquanto a empresa de segurança Tenable situa a origem do código vulnerável já no PHP 5.4.0. A CISA recomenda atualizar sem demora, começando pelos sistemas expostos à internet, e isolar os que não podem ser atualizados ou que rodam PHP 8.1 ou anterior, para os quais existem apenas backports em código-fonte para as versões 7.4, 8.0 e 8.1.

A Amazon Threat Intelligence relatou ter detectado uma tentativa de exploração em seus honeypots em 17 de outubro, quatro dias antes da divulgação oficial, e ressaltou que não está claro como o atacante obteve a informação. Em 20 de outubro, por volta das 15h00 UTC, as CVE começaram a circular na internet com data e pontuação erradas; por volta das 20h00 UTC, a Calif publicou por engano um vídeo com a prova de conceito, depois removido. O lançamento das correções foi antecipado de 22 para 21 de outubro, às 14h00 UTC; naquela manhã, às 07h41 UTC, a Chainguard publicou imagens atualizadas antes da divulgação formal. Segundo a AWS, as tentativas de exploração já estão disseminadas, mas não se sabe se teriam funcionado em sistemas reais; quando publicou seu alerta, a CISA não tinha observado explorações bem-sucedidas.

De acordo com a PHP Foundation, a causa raiz das vulnerabilidades foi relatada pela Calif em 11 de agosto, pela Wiz em 24 de agosto e, de forma independente, pela OpenAI em 18 de setembro. Segundo a Fortune, a Calif usou o GPT-5.6 Sol, enquanto a Wiz utilizou o Gemini 4 Argon, o GPT-5.6 Sol e sua própria ferramenta Wiz Atlas. A Wiz, num blog citado pela Fortune, fala em 70% da internet afetada: uma estimativa não verificada de forma independente. A Palo Alto Networks, ainda segundo a Fortune, identificou 22,6 milhões de instâncias potencialmente vulneráveis.

A própria PHP Foundation conta que analisou o PHP no início de 2026 com o modelo Claude Mythos, da Anthropic, em conjunto com a Alpha-Omega, e que usa o Daybreak Red, da OpenAI, para validar relatórios e exploits. Desde 1º de julho de 2026, a equipe publicou 15 CVE e tratou mais de 100 relatos que se revelaram inválidos, duplicados ou impossíveis de reproduzir. Como observa a fundação, o crescimento da pesquisa assistida por IA faz com que a equipe de segurança receba muito mais relatos do que no passado, enquanto cada decisão e cada correção continuam dependendo do trabalho direto de pessoas.

O episódio sugere que os modelos de linguagem estão tornando mais frequente a descoberta de defeitos antigos no código e, ao mesmo tempo, aumentando o volume de verificações que recai sobre os mantenedores humanos, a quem cabe a responsabilidade pelas correções.

— Olya