NSA alerta para duas falhas críticas no PHP achadas com ajuda de IA

A Agência de Segurança Nacional dos Estados Unidos (NSA) alertou nesta quarta-feira, 21 de outubro de 2026, que duas falhas críticas foram encontradas no PHP, a linguagem que roda uma parcela enorme dos sites do mundo, incluindo o WordPress. Segundo a reportagem do TechCrunch, os defeitos existem em todas as versões desde o PHP 5, lançado em 2004, e permitem que um atacante chegue ao sistema de arquivos do servidor ou ao banco de dados usado pela aplicação web.

O detalhe que chama atenção é como as falhas apareceram: elas foram achadas por equipes que usaram modelos de inteligência artificial para varrer código antigo. A NSA foi direta no conselho aos administradores: se um site não puder ser corrigido imediatamente, ele deve ser retirado do ar até que a atualização seja aplicada.

Quem achou as falhas e como

De acordo com o TechCrunch, uma das falhas foi encontrada pela Calif, empresa de testes de segurança que trabalha dentro da iniciativa Patch the Planet, da OpenAI, voltada a achar defeitos em software de código aberto. A Calif usou o modelo GPT-5.6 Sol, e a OpenAI divulgou o caso em um post em seu blog.

A equipe da Wiz, empresa de segurança em nuvem ligada ao Google, também achou várias vulnerabilidades no PHP. Ela combinou o Wiz Atlas, seu agente de segurança com IA, com o Gemini 4 Argon e o GPT-5.6 Sol. Os dois grupos seguiram o processo de divulgação responsável: avisaram a equipe do PHP e trabalharam com ela nas correções antes de tornar o caso público. A Wiz agradeceu a Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft e Vercel, que ajudaram a testar os patches.

O que os administradores precisam fazer

A PHP Foundation publicou uma versão de segurança com os patches. O TechCrunch informa que as versões 8.1 e anteriores não têm mais suporte, então quem ainda roda essas linhas precisa migrar para uma versão mantida, e cita o PHP 8.5.12 como a versão atual no momento da reportagem. Na página de lançamentos do php.net que consultamos, a versão mais recente listada era a 8.5.11, o que pode indicar uma cópia desatualizada da página. Por isso, confirme o número exato da versão corrigida diretamente nos avisos oficiais da PHP Foundation antes de atualizar.

Para sites em WordPress, a própria WordPress afirmou, segundo a reportagem, que a falha não é específica da plataforma. A correção depende do servidor: quem usa hospedagem compartilhada ou gerenciada deve cobrar da empresa de hospedagem a atualização do PHP e confirmar que a versão em uso já recebeu o patch.

Por que a IA muda o jogo dos dois lados

A Wiz alertou que a IA reduz uma barreira que antes protegia sistemas antigos. Em vez de um atacante precisar adaptar manualmente um exploit para cada versão, configuração e layout de memória, um modelo de linguagem pode ajudar nessa adaptação. Nas palavras da empresa citadas pela reportagem, com a IA isso deixa de ser um obstáculo.

Agora que as falhas são públicas, os atacantes também sabem delas. A OpenAI afirma que os defeitos foram achados antes de hackers os descobrirem e que não há relatos de exploração, mas o intervalo entre a divulgação e a aplicação do patch é justamente o período de maior risco. Esse padrão já apareceu em outras notícias recentes: mostramos que as correções de segurança falham 10 vezes mais em 2026 em um cenário de atacantes com IA, e que o Anthropic Mythos achou uma vulnerabilidade no Rejetto HFS. O mesmo movimento levou ao crescimento da demanda por profissionais da área, tema da nossa matéria sobre as vagas de cibersegurança que caem 26% enquanto engenheiro de segurança de IA sobe 268%.

Por que isso importa para você

Mesmo que você não seja programador, é provável que dependa de PHP sem saber. Lojas virtuais, blogs, portais de empresas pequenas e sistemas de agendamento costumam rodar nele. Se você tem um site de negócio, um blog que gera renda ou presta serviço de criação de sites para clientes, esta é uma tarefa urgente, não um assunto de especialista.

O que fazer, na prática:

• Descobrir qual versão de PHP o seu site usa. No painel da hospedagem, essa informação costuma estar na seção de configuração de PHP.
• Atualizar para a versão corrigida indicada pela PHP Foundation, ou pedir à hospedagem que faça isso.
• Fazer um backup completo antes da atualização, com arquivos e banco de dados.
• Se a hospedagem não oferecer a versão corrigida em prazo curto, avaliar tirar o site do ar temporariamente, como recomenda a NSA, ou trocar de provedor.
• Trocar senhas de banco de dados e chaves de acesso se houver qualquer sinal de comportamento estranho no site.

Para quem presta serviços de manutenção de sites, o episódio abre uma oportunidade legítima de trabalho: auditar os sites de clientes, atualizar versões antigas e cobrar por monitoramento contínuo. Quem usa IA no próprio trabalho também ganha uma lição sobre o outro lado da moeda. A mesma tecnologia que acelera a sua produção acelera a de quem procura brechas, e agentes e automações que você configura precisam rodar em ambientes atualizados. Vale reler o caso dos agentes da OpenAI com mais de 15 incidentes de segurança para lembrar que acesso amplo demais é risco, e o alerta sobre o Loom da AWS e sua falha crítica em agentes de IA.

O que observar a seguir

O primeiro ponto é a publicação dos identificadores oficiais (CVE) e das pontuações de gravidade, que a reportagem não trouxe e que ajudam empresas a priorizar a correção. O segundo é a velocidade com que as hospedagens brasileiras atualizam seus servidores. O terceiro é se aparecerão relatos de exploração real nos próximos dias, já que o código das falhas agora é conhecido por quem quiser estudá-lo.

A fonte desta matéria é a reportagem do TechCrunch, que por sua vez cita a NSA, a OpenAI e a Wiz. Detalhes técnicos, números de versão e pontuações devem ser conferidos nos avisos oficiais da PHP Foundation e da NSA antes de qualquer decisão em ambiente de produção.