PHP: a falha grave descoberta por IA que tirou sites do ar

Na última quarta-feira (21), a internet viveu um dia meio estranho: sites de governos, empresas e até da Wikimedia saíram do ar de propósito. O motivo? Duas falhas críticas no PHP, a linguagem que roda por trás de boa parte da web, foram reveladas — e o detalhe que chamou atenção de todo mundo é que elas foram encontradas com ajuda de inteligência artificial.

O problema ganhou até nome: PHP2Shell. Ele permite que um invasor execute código no servidor sem precisar fazer login, só enviando uma requisição maliciosa. E, segundo os pesquisadores, ele estava escondido no código havia mais de uma década.

Neste post, a gente explica o que aconteceu, por que tanta gente correu para tirar sites do ar, como a IA entrou nessa história e o que você precisa fazer se tem um site em PHP.

Resumo rápido: o que aconteceu

• O quê: duas vulnerabilidades críticas no núcleo do PHP, a CVE-2026-109618 e a CVE-2026-109619, apelidadas de PHP2Shell.
• Gravidade: nota 9,2 de 10 (CVSS 4.0), segundo o próprio projeto PHP.
• Risco: execução remota de código no servidor, sem autenticação.
• Alcance: praticamente todas as versões do PHP desde a 5.4, ou seja, mais de dez anos de lançamentos.
• Quem descobriu: pesquisadores da Calif, da Wiz e da OpenAI, com uso de modelos de IA.
• Correção: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, lançados em 21 de outubro de 2026.
• Consequência: sites saíram do ar por precaução e a Cloudflare registrou milhares de tentativas de ataque antes do anúncio oficial e milhões no dia seguinte.

O que é o PHP e por que uma falha nele assusta tanto?

O PHP é uma linguagem de programação que roda no servidor, ou seja, no computador que entrega as páginas para o seu navegador. Ele é a base de plataformas como WordPress, Magento, Drupal e Moodle, além de muito sistema feito sob medida.

Estima-se que o PHP esteja por trás de cerca de 70% dos sites da internet, segundo a Wiz. Então, quando aparece uma falha no núcleo da linguagem — e não em um plugin ou tema específico —, o problema deixa de ser de um site e vira um problema de boa parte da internet.

O especialista Paul Spain, CEO da Gorilla Cyber Security, estimou à BBC que milhões de sites podem ser afetados.

O que é o PHP2Shell?

O PHP2Shell é o nome dado a duas falhas de corrupção de memória no motor do PHP. Na prática, as duas levam ao mesmo resultado: alguém de fora consegue rodar o código que quiser no servidor, sem senha e sem login.

Se você viu a nota 10 em algum lugar, ela veio do vazamento antes da divulgação e estava errada. A nota oficial é 9,2, do projeto PHP, na escala CVSS 4.0.

O ponto mais delicado é que a falha afeta qualquer instalação que atende requisições web: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Não importa se o site é WordPress ou um sistema próprio.

Como a IA ajudou a encontrar as falhas

Aqui está a parte que transformou um alerta técnico em manchete. A empresa de segurança Calif encontrou a primeira falha em agosto, com ajuda do modelo GPT-5.6 Sol, da OpenAI, que também apoiou a auditoria do código do PHP.

Semanas depois, a equipe da Wiz (empresa de cibersegurança do Google) chegou às falhas de forma independente, usando a ferramenta Wiz Atlas e os modelos Gemini 4 Argon e GPT-5.6 Sol. O comunicado oficial do PHP dá o crédito aos três: Calif, Wiz e OpenAI. A Wiz chegou a descrever as brechas como as mais graves já encontradas por IA.

Repare na data de 17 de outubro: a Amazon já registrava tentativas de ataque antes do anúncio. E, no dia 20, detalhes vazaram antes da hora, o que fez o PHP antecipar a correção do dia 22 para o dia 21.

Vale um cuidado: a IA foi usada pelos pesquisadores para achar as falhas. Não há evidência de que os ataques que vieram depois tenham sido comandados por IA.

Por que tantos sites saíram do ar?

Os sites não caíram por causa de um ataque. Eles foram desligados de propósito, como medida de precaução, enquanto as equipes aplicavam a correção.

A orientação veio de cima: a NSA recomendou que quem não conseguisse atualizar os sistemas imediatamente tirasse os sites do ar. Agências de segurança de outros países, como o NCSC britânico e o CERT-EU, foram na mesma linha. Governos na Europa e no Brasil seguiram o conselho. Por aqui, o governo federal tirou o SEI do ar preventivamente, e a Wikimedia também desativou sistemas por precaução.

E a pressa fazia sentido. A Cloudflare registrou milhares de tentativas de exploração nas horas antes do anúncio oficial, e o número chegou a milhões no dia seguinte. Quando uma falha desse porte vira pública, os atacantes correm para testar o maior número possível de servidores antes que eles sejam atualizados.

Quais versões do PHP estão afetadas?

Resumindo: se a versão do seu PHP é anterior às listadas abaixo como corrigidas, ela está vulnerável.

Quem ainda roda versões antigas está na situação mais complicada. Como essas versões já perderam o suporte, não vão receber atualização oficial.

O que fazer agora

Se você tem um site ou cuida de servidores

1. Descubra a versão do PHP. No painel da hospedagem ou rodando php -v no terminal. Confira todos os ambientes: produção, homologação, contêineres e pipelines de deploy.
2. Atualize para uma versão corrigida. 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Se usa distribuição Linux, verifique se ela já liberou o pacote corrigido, porque muitas receberam os patches antes da divulgação pública.
3. Reinicie os serviços. Depois de atualizar, reinicie o PHP-FPM ou o servidor web, senão a versão antiga continua rodando.
4. Se estiver em versão antiga, planeje a migração. Do 8.1 para baixo não há atualização oficial. É hora de migrar para o 8.2 ou superior.
5. Se não der para atualizar já, considere tirar o site do ar. Foi exatamente o que agências como a NSA, nos EUA, e o NCSC, no Reino Unido, recomendaram. O PHP afirma que nenhuma mudança de configuração resolve o problema por completo.
6. Procure sinais de invasão. Como houve tentativas de ataque antes da divulgação, vale revisar logs e procurar arquivos PHP estranhos no servidor.

Se você usa hospedagem compartilhada

Na maioria dos casos, a atualização depende da empresa de hospedagem. Entre em contato com o suporte e pergunte se o servidor já está com o PHP corrigido.

Se você só navega na internet

Relaxa: a falha está nos servidores, não no seu computador ou celular. Não existe atualização para você fazer no navegador. Quem precisa agir são as empresas responsáveis pelos sites.

O que esse caso ensina sobre IA e segurança

O PHP2Shell é um ótimo exemplo de como a IA é uma faca de dois gumes na cibersegurança.

De um lado, ela permitiu achar falhas que passaram mais de dez anos despercebidas num dos projetos de código aberto mais usados e auditados do mundo. Isso é uma boa notícia: quanto antes os defensores encontram um problema, antes ele é corrigido.

Do outro lado, se pesquisadores conseguem usar IA para caçar falhas, criminosos também conseguem. A pesquisadora Jill Slay, da Universidade de Adelaide, classificou como desastroso o cenário de essa falha ser explorada por criminosos ou por países.

A lição prática é que nenhum software é "maduro demais" para ter brechas. Manter dependências atualizadas deixou de ser tarefa chata de TI e virou parte do básico de qualquer negócio que tenha presença online.

Conclusão

O PHP2Shell mostrou duas coisas de uma vez: o quanto a internet depende do PHP e o quanto a IA já mudou o jogo da segurança digital. Se você tem um site, a mensagem é simples: confira a versão do PHP hoje e atualize. E, se conhece alguém que cuida do site de uma empresa, compartilhe este post.

Perguntas frequentes sobre PHP e a falha descoberta por IA

O que é o PHP2Shell?

É o nome dado a duas falhas críticas no núcleo do PHP (CVE-2026-109618 e CVE-2026-109619) que permitem executar código remotamente em servidores, sem login.

A falha foi criada por uma IA?

Não. As falhas existiam no código do PHP havia mais de dez anos. A IA foi usada por pesquisadores para encontrá-las.

Meu site em WordPress está em risco?

Se o servidor roda uma versão do PHP sem a correção, sim. O problema está na linguagem, não no WordPress. Verifique a versão com sua hospedagem.

Existe alguma configuração que resolva sem atualizar?

Não por completo. O próprio PHP listou ajustes temporários que reduzem a exposição, mas avisa que eles não protegem totalmente. A única solução segura é atualizar.

Preciso fazer algo no meu computador ou celular?

Não. A falha afeta servidores. Quem navega não precisa instalar nada.

Meus dados podem ter vazado?

Depende de cada site. Não há confirmação de vazamentos em massa, mas como houve tentativas de ataque antes da divulgação, cada empresa precisa investigar os próprios servidores.

Fim