Inteligência Artificial Descobre em Dois Dias Como Explorar Falhas Que Ameaçam 70% da Internet

Vulnerabilidades críticas no PHP, conhecidas parcialmente há mais de duas décadas, foram transformadas em métodos de exploração com recurso à inteligência artificial. Descoberta mobilizou empresas tecnológicas e especialistas em segurança para corrigir falhas capazes de comprometer servidores, bases de dados e serviços digitais à escala mundial.

Inteligência Artificial Altera as Regras da Cibersegurança Mundial

Uma investigação de segurança informática demonstrou como a inteligência artificial pode transformar vulnerabilidades tecnológicas antigas em ameaças operacionais num espaço de tempo extraordinariamente reduzido, expondo uma das principais fragilidades da economia digital: a dependência global de sistemas informáticos cuja segurança nem sempre acompanha a evolução das capacidades tecnológicas disponíveis.

O caso envolve o PHP, uma linguagem de programação utilizada em aproximadamente 70% dos websites mundiais, incluindo plataformas empresariais, sistemas de gestão de conteúdos, aplicações comerciais e serviços digitais.

As vulnerabilidades descobertas poderiam, em determinadas condições, permitir que atacantes executassem código malicioso remotamente, acedessem a informações confidenciais e comprometessem servidores sem necessidade de autenticação prévia.

Segundo uma análise publicada pela CNN, em 23 de Outubro, assinada por David Goldman, o problema tem antecedentes que remontam a 2004, quando o investigador Stefan Esser identificou riscos associados ao processamento de memória pelo PHP.

Durante muitos anos, a complexidade técnica necessária para transformar determinadas falhas em ataques funcionais contribuiu para limitar a sua exploração prática.

A situação mudou quando investigadores recorreram a modelos avançados de inteligência artificial para analisar os mecanismos internos da linguagem e desenvolver métodos capazes de explorar as vulnerabilidades.

A empresa de segurança Calif iniciou a investigação em 30 de Julho e, a 1 de Agosto, já tinha identificado uma forma de exploração. Posteriormente, outras equipas encontraram vulnerabilidades relacionadas, ampliando a dimensão da investigação.

A descoberta mobilizou uma resposta internacional que culminou, em 21 de Outubro, na disponibilização de actualizações de segurança e na divulgação pública das falhas.

O episódio introduz uma alteração significativa no equilíbrio entre as capacidades de defesa e ataque no espaço digital. Tarefas que anteriormente exigiam períodos prolongados de investigação especializada podem agora ser parcialmente automatizadas, reduzindo o esforço necessário para identificar vulnerabilidades críticas.

Uma Falha com Origem em 2004 e Explorada com IA em 2026

A investigação tem antecedentes particularmente relevantes para compreender a evolução dos riscos informáticos.

Em Julho de 2004, Stefan Esser alertou para vulnerabilidades relacionadas com a gestão de memória no PHP, demonstrando que determinadas condições poderiam permitir comportamentos imprevistos na execução de aplicações.

O problema voltou a receber atenção em anos posteriores, incluindo investigações realizadas em 2020 e 2024, mas a complexidade da sua exploração dificultou a obtenção de soluções definitivas para determinadas classes de falhas.

A investigação mais recente incidiu sobre vulnerabilidades relacionadas com os mecanismos de tratamento de memória e de processamento de dados da linguagem.

A descoberta principal foi que determinadas operações poderiam levar um servidor a utilizar incorrectamente regiões de memória, criando condições para divulgação de informações ou execução de instruções não autorizadas. A complexidade residia na necessidade de estabelecer sequências precisas de operações capazes de provocar essas condições.

Os modelos de inteligência artificial permitiram acelerar a análise das possibilidades técnicas e identificar formas de exploração que anteriormente exigiriam esforços consideráveis de programação e experimentação.

A Wiz, empresa especializada em segurança informática, descreveu as descobertas como algumas das vulnerabilidades mais graves identificadas no PHP, com classificações de severidade que chegaram a 9,2 numa escala de 10 pontos.

A referência aos 22 anos deve, contudo, ser interpretada com precisão: as descobertas de 2026 dizem respeito a vulnerabilidades relacionadas com uma classe de problemas identificada em 2004, não necessariamente a uma única falha que tenha permanecido tecnicamente inalterada durante todo esse período.

PHP Sustenta Grande Parte da Infra-Estrutura Digital Mundial

O PHP constitui uma das tecnologias fundamentais da Internet moderna. A linguagem é utilizada por sistemas de gestão de conteúdos e aplicações web, incluindo plataformas como WordPress, Drupal, Joomla e MediaWiki.

A sua ampla adopção resulta de características como flexibilidade, disponibilidade de ferramentas de desenvolvimento, custos relativamente reduzidos e integração com diferentes ambientes de alojamento digital.

Contudo, essa disseminação também significa que vulnerabilidades no núcleo da linguagem podem apresentar uma escala de exposição particularmente elevada.

Ao contrário de problemas limitados a uma aplicação específica, as falhas identificadas em componentes centrais do PHP podem afectar diferentes sistemas que partilham a mesma infra-estrutura tecnológica.

Segundo a Wiz, pelo menos uma das vulnerabilidades afecta versões da linguagem que remontam a mais de uma década, incluindo sistemas que continuam a utilizar software desactualizado.

A divulgação pública das falhas obrigou empresas e operadores de infra-estruturas digitais a identificar versões afectadas, aplicar actualizações e avaliar possíveis sinais de exploração.

O impacto económico potencial é significativo porque grande parte das actividades empresariais modernas depende de aplicações web para operações comerciais, gestão de clientes, pagamentos, comunicação e armazenamento de informações.

OpenAI, Calif e Wiz Coordenam Investigação e Correcção

A descoberta ocorreu no âmbito da iniciativa Patch the Planet, um esforço de cooperação destinado a identificar e corrigir vulnerabilidades críticas em software de utilização generalizada.

A iniciativa envolveu a OpenAI, a Calif, a Wiz, responsáveis pela manutenção do PHP e diferentes empresas de infra-estruturas e segurança digital.

Num comunicado divulgado em 21 de Outubro, a OpenAI explicou que os investigadores da Calif identificaram uma vulnerabilidade crítica utilizando um modelo avançado de inteligência artificial. A Wiz comunicou igualmente descobertas independentes relacionadas com as mesmas classes de problemas.

O processo de correcção foi conduzido pelos responsáveis pela manutenção do PHP, com apoio técnico das entidades envolvidas na investigação.

A cooperação também abrangeu fornecedores de infra-estruturas digitais e organizações de segurança, incluindo a Cloudflare, que desenvolveu mecanismos destinados a proteger sistemas potencialmente afectados.

A OpenAI considerou as vulnerabilidades entre os problemas de segurança informática mais relevantes dos últimos tempos, destacando a capacidade da inteligência artificial de descobrir falhas com impacto potencial à escala da Internet.

A empresa sublinhou ainda que as mesmas capacidades tecnológicas utilizadas por investigadores de segurança podem ser aproveitadas por agentes mal-intencionados para desenvolver ferramentas de ataque. Esta dualidade constitui um dos elementos centrais da discussão internacional sobre inteligência artificial e cibersegurança.

Cibersegurança Entra Numa Nova Fase: A Complexidade Deixa de Ser Protecção

Um dos aspectos mais importantes da descoberta relaciona-se com a transformação da chamada segurança por exaustão.

Durante muito tempo, determinadas vulnerabilidades permaneceram praticamente inexploradas porque o desenvolvimento de um ataque funcional exigia conhecimentos especializados, numerosos testes e períodos prolongados de trabalho. Essas dificuldades funcionavam, indirectamente, como uma barreira à exploração.

A inteligência artificial está a alterar esse equilíbrio. Os modelos avançados conseguem analisar grandes quantidades de código, identificar padrões, propor hipóteses e executar processos repetitivos de investigação com velocidade superior à de abordagens exclusivamente manuais.

Vyas Sekar, professor de engenharia informática na Universidade Carnegie Mellon, advertiu, em declarações à CNN, que a capacidade da IA de executar rapidamente tarefas complexas poderá tornar vulnerabilidades anteriormente consideradas impraticáveis em ameaças efectivas.

Nick Rogers, director executivo da Fieldwork AI, destacou igualmente a capacidade da inteligência artificial de automatizar processos de investigação que tradicionalmente exigiam esforços humanos prolongados.

A principal alteração económica consiste na redução dos custos de identificação e exploração de vulnerabilidades. Se um atacante consegue desenvolver ferramentas complexas com menor investimento de tempo e recursos, o número de sistemas susceptíveis de se tornarem alvos economicamente atractivos pode aumentar.

Empresas Enfrentam Novos Riscos Operacionais e Financeiros

O impacto potencial destas descobertas estende-se às actividades empresariais que dependem de aplicações informáticas para assegurar operações críticas.

Entre os riscos encontram-se a interrupção de serviços digitais, divulgação de dados confidenciais, manipulação de informações, fraude e perdas financeiras resultantes de ataques informáticos.

As empresas também podem enfrentar encargos elevados associados à recuperação de sistemas, auditorias técnicas, actualização de infra-estruturas e cumprimento de obrigações regulatórias.

O problema é particularmente relevante para organizações que utilizam aplicações antigas, desenvolvidas em versões de software que já não recebem actualizações regulares.

Adam Meyers, responsável pela área de análise de ameaças da CrowdStrike, advertiu à CNN que muitas versões desactualizadas do PHP continuam em utilização, mesmo depois da disponibilização das correcções.

A Reuters revelou, em 23 de Outubro, que a PHP Foundation, organização responsável por apoiar o desenvolvimento da linguagem, enfrenta limitações financeiras e dispõe de uma estrutura reduzida de pessoal permanente. A sua directora executiva, Elizabeth Barron, explicou que a fundação conta com apenas uma trabalhadora a tempo inteiro, apoiada por colaboradores externos e voluntários.

A situação evidencia uma vulnerabilidade institucional da economia digital: tecnologias utilizadas por milhões de organizações podem depender de estruturas de manutenção relativamente pequenas, com recursos financeiros limitados.

Moçambique: Digitalização Exige Maior Capacidade de Protecção das Infra-Estruturas

Para Moçambique, as vulnerabilidades identificadas no PHP constituem um alerta relevante no contexto da expansão da economia digital e da crescente utilização de plataformas tecnológicas nos serviços financeiros, empresariais e públicos.

A digitalização dos pagamentos, o desenvolvimento de serviços bancários electrónicos, a modernização da administração pública e a expansão das plataformas comerciais aumentam a dependência de sistemas informáticos permanentemente disponíveis.

Neste contexto, vulnerabilidades em tecnologias amplamente utilizadas podem representar riscos para a continuidade dos serviços, a segurança dos dados e a confiança dos utilizadores.

A relevância da descoberta não significa que os sistemas moçambicanos tenham sido comprometidos. Até ao momento, não foram apresentados elementos que permitam estabelecer a existência de incidentes nacionais directamente associados às vulnerabilidades identificadas.

Contudo, as organizações que utilizam aplicações desenvolvidas em PHP deverão avaliar a exposição dos respectivos sistemas e assegurar a aplicação das actualizações recomendadas pelos responsáveis pela manutenção da linguagem.

O desafio estende-se às instituições financeiras, empresas de telecomunicações, operadores de comércio electrónico e entidades públicas que utilizam aplicações digitais para assegurar funções críticas.

Corrigir as Falhas Não Elimina Automaticamente os Riscos

A divulgação das actualizações de segurança em 21 de Outubro representa uma resposta importante às vulnerabilidades identificadas.

Contudo, a disponibilização de uma correcção não significa que todos os sistemas potencialmente afectados tenham sido actualizados. A aplicação de medidas de segurança pode exigir testes técnicos, adaptações das aplicações e coordenação com fornecedores de serviços digitais.

A Cloudflare registou um aumento de tentativas de exploração associadas às vulnerabilidades após a circulação pública de informações técnicas sobre as falhas.

A existência destas tentativas não significa necessariamente que tenham resultado em ataques bem-sucedidos, mas demonstra a rapidez com que informações sobre vulnerabilidades podem ser utilizadas por agentes mal-intencionados.

A OpenAI e os parceiros envolvidos recomendaram a verificação das versões de PHP utilizadas, a aplicação das actualizações oficiais e a adopção de medidas complementares de protecção sempre que necessário.

O caso PHP introduz uma mudança concreta na economia da cibersegurança: vulnerabilidades que anteriormente exigiam semanas ou meses de investigação podem tornar-se exploráveis em períodos muito mais curtos, reduzindo os custos potenciais de ataque e aumentando a urgência da defesa.