Durante vinte anos, sete de cada dez páginas da Internet se sustentaram sobre uma rachadura que ninguém viu. Quem a encontrou foi uma inteligência artificial, não uma pessoa, e ela estava no PHP, uma linguagem de programação quase invisível que faz funcionar da Wikipédia ao portal de qualquer prefeitura. O susto foi tão grande que a agência de espionagem mais poderosa do mundo pediu a todos que a fechassem imediatamente ou desligassem suas máquinas.
Isso nos leva a uma pergunta inevitável:
Como pudemos viver duas décadas sobre uma falha tão grande sem que ninguém a visse, e o que diz sobre nós o fato de ter sido uma máquina a encontrá-la?
O pedreiro invisível que construiu metade da Internet
Por: Gabriel E. Levy B.
Cada vez que abrimos uma página na web, acontece algo que nunca vemos. Em algum lugar do mundo, um computador recebe nosso pedido, monta a página e a envia para nós. Esses computadores se chamam servidores, e o idioma em que muitos deles trabalham se chama PHP.
O PHP nasceu em meados dos anos noventa como uma ferramenta simples, quase artesanal, para que qualquer pessoa pudesse fazer páginas que mudassem com o tempo. Com os anos, virou o pedreiro silencioso da web.
Segundo a empresa de medição W3Techs, perto de 70 por cento dos sites da Internet funcionam com ele. Isso inclui o WordPress, o sistema com que é feita a maioria dos blogs e pequenos veículos de mídia do mundo, e também a Wikipédia.
E durante duas décadas, esse pedreiro construiu sobre uma rachadura.
As falhas hoje conhecidas pelo nome de PHP2Shell estão presentes em todas as versões da linguagem desde 2012, e segundo o TechCrunch o código problemático existe desde 2004. Quase tudo o que lemos ou compramos na Internet em vinte anos passou por cima dela.
O que uma máquina viu e ninguém tinha visto
Para entender a falha não é preciso ser engenheiro. Imaginemos uma recepcionista que atende visitantes em um escritório: cada vez que alguém vai embora, ela deveria limpar a mesa e guardar os papéis antes de receber o próximo.
Em certas condições, quando uma visita termina mal porque o computador fica sem memória, o PHP não limpa bem a mesa. Ficam papéis do visitante anterior, e um atacante paciente, fazendo-se passar pelo visitante seguinte, pode lê-los, encontrar senhas e chaves e, no pior dos casos, sentar-se na cadeira da recepcionista e mandar em todo o escritório.
Foi isso que os pesquisadores da empresa Calif conseguiram demonstrar em agosto, trabalhando com os modelos da OpenAI, a empresa do ChatGPT, e poucos dias depois a equipe da Wiz, uma companhia de segurança que pertence ao Google, com a ajuda do Gemini e desses mesmos modelos.
A rachadura não estava escondida, estava alta demais.
Em 2024, uma equipe da empresa Quarkslab já tinha tropeçado no mesmo erro e o deixou passar, porque aproveitá-lo parecia tão difícil que não valia a pena se preocupar.
A Wiz conta isso com uma franqueza que impressiona: transformar esse erro em um ataque real exigia encadear várias falhas e se adaptar a cada máquina, um trabalho que levaria meses para uma equipe de especialistas e que uma única pessoa, ajudada por inteligência artificial, completou em uma semana.
Pessoalmente, considero que aí está a notícia que de fato importa. A máquina não inventou a rachadura. O que ela trouxe foi a paciência infinita que falta a nós, humanos, para olhar o que está há vinte anos à vista de todos.
O dia em que os espiões pediram para apagar a luz
Em 21 de outubro, no mesmo dia em que a fundação que cuida do PHP publicou a correção, a Agência de Segurança Nacional dos Estados Unidos, a NSA, a mesma dos escândalos de espionagem, publicou um aviso tão incomum que muita gente achou que era falso.
Ela pedia a toda organização do mundo que usasse PHP que instalasse a correção imediatamente, e acrescentava uma frase que quase nunca sai de uma agência de inteligência: se não puderem corrigir agora mesmo, desliguem seus sistemas até que possam.
No jargão da área, essa correção se chama patch, um remendo como o que se costura em uma calça rasgada, e neste caso era preciso aplicá-lo em dezenas de milhões de máquinas ao mesmo tempo.
E o mundo obedeceu.
Segundo a Al Jazeera e a Reuters, os governos da Bélgica, dos Países Baixos, da Finlândia e da República Tcheca tiraram portais públicos do ar por horas para poder remendá-los. Houve cidadãos que naquela quarta-feira não conseguiram fazer um trâmite nem consultar uma notícia oficial, sem que ninguém explicasse o motivo.
A pressa fazia sentido. Alguém vazou na Internet as instruções para explorar a falha antes da hora, a correção teve que ser antecipada em um dia e, segundo o boletim Resilient Cyber, em menos de dois dias foram contadas milhões de tentativas de ataque contra máquinas que ainda não tinham sido atualizadas.
A suspeita da porta dos fundos
Como costuma acontecer quando uma agência de espionagem aparece de repente pedindo que todos fechem uma janela, surgiu em fóruns e redes uma leitura mais sombria.
Segundo essa versão, a rachadura nunca foi um acidente: era uma porta dos fundos, ou seja, uma entrada secreta deixada de propósito por alguma agência de segurança, talvez a própria NSA, para entrar em qualquer site do mundo quando quisesse, e, ao ser descoberta por uma inteligência artificial, teria preferido fingir surpresa e ficar do lado dos bons.
A desconfiança não nasce do nada. Em 2013, os documentos vazados por Edward Snowden mostraram que a NSA tinha enfraquecido de propósito um sistema de criptografia, o cadeado matemático que protege as comunicações, e essa lembrança ainda pesa.
Os fatos, porém, contam outra história.
Como aponta uma análise do Hackernoon, não existe uma única prova de que alguém tenha plantado essa falha, e a conduta de todos os envolvidos aponta na direção contrária: várias empresas privadas não costumam descobrir ao mesmo tempo uma entrada secreta, e muito menos quem a plantou a anuncia aos quatro ventos.
Provavelmente nunca saberemos com certeza se alguém conhecia a rachadura antes das máquinas, porque no mundo da espionagem o que se sabe não se diz e o que se nega não se pode comprovar. O que podemos dizer é que a explicação mais simples, um erro humano de vinte anos atrás que ninguém teve tempo de olhar, explica tudo o que aconteceu sem precisar de um vilão.
O que cabe a nós
Na América Latina, esse assunto é menos distante do que parece. Uma parte enorme dos sites de prefeituras, universidades, pequenos veículos de mídia e negócios familiares é feita com WordPress, hospedada em computadores compartilhados e com versões da linguagem que deixaram de receber cuidado há anos.
Para uma grande empresa, remendar a rachadura foi questão de horas. Para um município que paga uma hospedagem barata e não tem ninguém que leia alertas em inglês, a rachadura continua aberta e vai continuar até que alguém se lembre dela.
A paciência já não é uma vantagem humana.
A fundação que cuida do PHP reconhece que desde julho a inteligência artificial a ajudou a encontrar quinze falhas novas, e a OpenAI já fala em uma janela do defensor: o pouco tempo que passa entre o momento em que uma máquina descobre um erro e o momento em que outras máquinas o exploram.
Finalmente, acredito que há uma lição de humildade em tudo isso. Durante vinte anos confiamos que, se algo tão grave existisse, alguém teria visto. Ninguém viu, porque olhar com paciência o que é velho e entediante é justamente o que nós, humanos, fazemos pior e o que as máquinas fazem melhor. A partir de agora, a única defesa real é parar de supor que o silêncio significa segurança.
Em resumo, uma inteligência artificial encontrou no PHP, a linguagem invisível que sustenta sete de cada dez páginas da Internet, uma rachadura que estava aberta havia vinte anos, e o susto foi tamanho que a NSA pediu ao mundo que a remendasse ou desligasse suas máquinas. A teoria de uma porta dos fundos de espiões não tem provas, mas a lição fica: durante duas décadas dormimos sobre uma falha que ninguém olhou, e na nossa região muitos ainda continuam dormindo sobre ela.
Referências
- Tzadik, S., Tamari, S., Ohfeld, N. e Schwartz, T. (21 de outubro de 2026). PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet. Wiz Blog. https://www.wiz.io/blog/php2shell-php-rce
- Bort, J. (21 de outubro de 2026). PHP Armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet. TechCrunch. https://techcrunch.com/2026/10/21/php-armageddon-openai-googles-wiz-find-ancient-holes-panicking-the-internet/
- Farooq, U. e Reuters. (22 de outubro de 2026). World leaders warn of security flaws found in PHP programming language. Al Jazeera. https://www.aljazeera.com/news/2026/10/22/world-leaders-warn-against-security-flaw-found-in-php-computer-programming
- The Hill. (22 de outubro de 2026). NSA warns organizations to patch security flaws identified by AI. https://thehill.com/policy/technology/6163568-nsa-warns-php-security-flaws/
- CNBC. (22 de outubro de 2026). Why governments pulled websites offline over the decades-old PHP programming language. https://www.cnbc.com/2026/10/22/php2shell-vulnerability-what-is-it-and-is-your-data-at-risk.html
- The Hacker News. (25 de outubro de 2026). Someone tried to exploit PHP2Shell 4 days before the vulnerabilities were publicly disclosed. https://thehackernews.com/2026/10/someone-tried-to-exploit-php2shell-4.html
- Hackernoon. (22 de outubro de 2026). NSA says patch PHP or go offline as AI-found PHP2Shell flaws reach ~70% of the web. https://hackernoon.com/nsa-says-patch-or-go-offline-as-ai-found-php2shell-flaws-reach-70percent-of-the-web
- Resilient Cyber. (23 de outubro de 2026). The Resilient Brief: PHP2Shell goes from leak to millions of attempts in under two days. https://www.resilientcyber.io/p/the-resilient-brief-php2shell-goes-from-leak-to-millions
- The PHP Foundation. (21 de outubro de 2026). Today’s PHP security release and how we’re strengthening PHP security. https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
- OpenAI. (21 de outubro de 2026). Coordinated disclosure of critical vulnerabilities. https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
