A equipe de desenvolvimento da linguagem de programação PHP anunciou o lançamento de atualizações de segurança de emergência para corrigir duas vulnerabilidades de segurança classificadas como "críticas", que receberam uma pontuação de gravidade de 9,2 de 10. Essas vulnerabilidades permitem que atacantes executem código malicioso remotamente sem a necessidade de autenticação, concedendo-lhes a capacidade de assumir o controle total dos servidores afetados.
Detalhes das vulnerabilidades e versões afetadas
Essas vulnerabilidades afetam especificamente servidores que utilizam configurações mod_php em servidores Apache. As atualizações que abordam esses riscos incluíram as seguintes versões do PHP: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A equipe de desenvolvimento insta todos os administradores de sistemas a atualizarem seus servidores imediatamente.
Também foi alertado que as versões do PHP 8.1 e anteriores não recebem mais suporte oficial, o que torna seus usuários vulneráveis a riscos; portanto, recomenda-se a migração para as versões suportadas ou a obtenção de correções de segurança junto aos fornecedores de software.
O papel da inteligência artificial na descoberta
A empresa Wiz Research, especializada em cibersegurança, revelou que a descoberta dessas vulnerabilidades complexas no código-fonte do PHP foi realizada com a ajuda de modelos avançados de inteligência artificial, especificamente o Gemini 4 Argon e o GPT-5.6 Sol. O modelo Gemini 4 Argon desempenhou um papel fundamental na análise do código e na verificação da validade das correções de segurança, destacando a importância da inteligência artificial no fortalecimento da segurança da infraestrutura de software de código aberto.
Por que o processamento atrasou?
A equipe de desenvolvimento do PHP admitiu a existência de uma "falha estrutural" que levou ao atraso no tratamento de uma das vulnerabilidades, cujos primeiros indicadores foram detectados em 2024. A equipe explicou que a falta de recursos e disputas técnicas impediram a solução na época. No entanto, as revisões de segurança realizadas no âmbito do programa "Patch the Planet" da OpenAI em agosto e setembro passados contribuíram para fornecer evidências concretas sobre como a vulnerabilidade poderia ser explorada, o que levou a equipe a acelerar o ritmo da correção após o vazamento de informações sobre as vulnerabilidades nas redes sociais.