A descoberta da falha PHP2Shell, em outubro, expôs um problema antigo da segurança digital: sistemas amplamente usados podem esconder vulnerabilidades graves por anos. Sites da NASA, da Wikipedia e da Casa Branca estavam entre os potencialmente afetados, assim como páginas que utilizam plataformas como WordPress e Drupal. A brecha permitia, em determinadas condições, acessar informações sensíveis e executar código nos servidores.

Até o momento, não há indicação de que criminosos tenham explorado a falha. Pesquisadores identificaram o risco e avisaram a PHP Foundation, que publicou uma correção antes que o método de ataque fosse usado por agentes maliciosos. O caso, porém, reacendeu o alerta sobre o impacto da inteligência artificial na descoberta de vulnerabilidades — e sobre a dificuldade de corrigir softwares antigos.

O problema original havia sido comunicado à fundação em 2024. Tratava-se de um erro de falta de memória, geralmente associado a travamentos e, por isso, considerado menos urgente. Uma auditoria independente da Calif, financiada pela OpenAI, mudou essa avaliação: com auxílio de ferramentas de IA, um pesquisador encontrou uma maneira de transformar o defeito em um caminho para executar comandos no servidor. A Wiz também analisou e confirmou a gravidade do risco.

A exploração exigia conhecimento especializado e uma sequência precisa de operações na memória do sistema. Para Suman Jana, professor associado de ciência da computação da Universidade Columbia, a IA não substituiu os especialistas, mas pode ampliar sua capacidade de trabalho e ajudar profissionais menos experientes a realizar análises complexas. “Ela está fazendo um bom trabalho nesse tipo de raciocínio específico”, afirmou.

A velocidade para encontrar falhas, no entanto, não se traduz automaticamente em correções rápidas. Consertar uma vulnerabilidade exige fechar todas as possibilidades de ataque sem comprometer funções existentes. No caso do PHP2Shell, quatro engenheiros levaram cerca de dois meses para preparar a atualização. A manutenção de projetos de código aberto, muitas vezes sem receitas claras apesar de sua ampla utilização, também limita os recursos disponíveis para esse trabalho.

Jana defende mais apoio financeiro e acesso a modelos avançados de segurança para as equipes responsáveis por proteger softwares. Ele também vê potencial em ferramentas de verificação formal, capazes de conferir se uma correção é válida. Ainda assim, esse processo precisa de um verificador confiável: modelos de linguagem podem produzir respostas incorretas.

Matthew Green, professor associado da Johns Hopkins University Information Security Institute, é mais cético quanto à disposição do setor para agir antes de uma crise. Para ele, mudanças amplas só devem ocorrer depois de um incidente com consequências perceptíveis para o público. Enquanto isso, a recomendação é direta: instalar atualizações de segurança assim que estiverem disponíveis.

PHP2Shell pode não ter causado danos conhecidos, mas expôs como uma falha aparentemente banal pode se tornar crítica quando examinada com novas ferramentas. Jana prevê que outros casos virão; a esperança, diz ele, é que pesquisadores de segurança encontrem as brechas antes dos invasores.