GPT-5.6 Sol ajuda a descobrir falhas críticas no PHP, usado por 70% dos sites

O GPT-5.6 Sol, modelo de inteligência artificial da OpenAI, identificou vulnerabilidades críticas no PHP, a linguagem que sustenta aproximadamente 70% de todos os sites da internet. O anúncio foi feito pela própria OpenAI em press release, dentro do programa Patch the Planet, iniciativa de cibersegurança da empresa.

O dado que sintetiza a gravidade da situação: as falhas existiam desde 2024, desenvolvedores humanos as conheciam e não conseguiram encontrar uma forma de explorá-las ou corrigi-las, e uma equipe com suporte de IA transformou esse impasse em exploits funcionais em apenas duas semanas.

Dois anos de silêncio, duas semanas de caos controlado

A PHP Foundation tinha conhecimento da falha subjacente desde 2024, mas o problema permaneceu sem solução porque nenhuma equipe de segurança conseguiu identificar um método de exploração ou um caminho claro para o patch. Foi nesse contexto que a Foundation requisitou uma auditoria à Calif, firma californiana de cibersegurança e parceira fundadora do Patch the Planet.

Os trabalhos começaram em 30 de julho de 2026, com ferramentas da OpenAI. Em 11 de agosto, o pesquisador Ryan A., da Calif, identificou a vulnerabilidade explorável. No mesmo dia, pesquisadores da própria OpenAI chegaram à mesma conclusão de forma independente. Pouco depois, a firma Wiz identificou uma segunda vulnerabilidade relacionada.

As duas falhas foram catalogadas como CVE-2026-109618 e CVE-2026-109619 e receberam pontuação de severidade crítica de 9,2 em 10. Ambas envolvem problemas na forma como o PHP gerencia memória. A primeira ocorre quando o motor da linguagem esgota a memória alocada durante o processamento de uma requisição, podendo deixar dados internos incompletos que o engine trata posteriormente como válidos.

A segunda envolve um erro fatal que deixa o PHP apontando para um endereço de memória já liberado, permitindo que requisições subsequentes acessem ou corrompam esse conteúdo. Em condições específicas, ambas permitem execução remota de código sem qualquer credencial de acesso, ou seja, um atacante pode assumir o controle de servidores a partir da internet sem precisar estar autenticado em nada.

O que está em risco

O detalhe que transforma essas CVEs de problema sério em pesadelo de escala é a localização das falhas: elas estão no core engine do PHP, não em alguma biblioteca de terceiros ou em código de aplicação mal escrito. Isso significa que nenhuma prática de desenvolvimento seguro protege o site se a versão do PHP em execução for vulnerável.

Com o suporte de IA, os pesquisadores também demonstraram que as falhas podem expor dados sensíveis armazenados na memória do servidor, entre eles senhas, tokens de autenticação e chaves de API. A superfície de ataque potencial é, sem exagero, boa parte da web. A coordenação para o patch durou dois meses, prazo que a OpenAI atribuiu à complexidade das correções, que exigiram mudanças significativas no motor da linguagem.

A PHP Foundation lançou as versões corrigidas PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Quem ainda roda PHP 8.1 ou qualquer versão anterior não receberá patch oficial e está, tecnicamente, por conta própria. O lançamento coordenado estava previsto para o dia 22 de outubro, mas foi antecipado para o dia 21 após divulgações prematuras no dia 20 gerarem pressão pública.

A janela que a OpenAI quer que o mundo enxergue

A OpenAI enquadra o episódio como um caso exemplar do conceito que chama de Defender’s Window: uma janela crítica e estreita durante a qual organizações podem usar modelos de IA de fronteira para encontrar, corrigir e fortalecer suas defesas antes que essas mesmas capacidades ofensivas se tornem amplamente acessíveis a agentes maliciosos.

A lógica é direta: se o GPT-5.6 Sol conseguiu transformar uma falha de dois anos em exploit funcional em duas semanas, nada impede que o mesmo ferramental, nas mãos erradas, faça o mesmo, ou pior. A empresa ressalva, porém, que há quem argumente o lado oposto: sem IA, as falhas talvez nunca tivessem sido exploráveis na prática, o que as tornaria efetivamente inofensivas.

O caso não está isolado. O modelo Claude Mythos, da Anthropic, identificou recentemente o que a empresa descreveu como milhares de vulnerabilidades zero-day em todos os principais sistemas operacionais e navegadores. O padrão que emerge em 2026 é claro: os modelos de IA de última geração chegaram a um nível de capacidade analítica em que auditar bases de código complexas, com décadas de dependências acumuladas, deixou de ser privilégio de equipes de elite com anos de contexto acumulado.

Para quem administra infraestrutura com PHP, a ação imediata é atualizar para uma das versões corrigidas. Para o ecossistema de segurança como um todo, o episódio recoloca em pauta uma tensão que só vai crescer: modelos como o GPT-5.6 Sol são o melhor argumento a favor de uma postura proativa de segurança, e o melhor argumento contra a demora em adotá-la.

Fonte: Tom’s Hardware