Pesquisadores usam IA para transformar bug de crash do PHP em falha crítica de execução de código

O ponto de partida é um bug banal: um erro de falta de memória (out-of-memory) reportado à PHP Foundation em 2024. A memória alocada para um dado era pequena demais para guardá-lo. Normalmente isso derruba o programa, algo chato, mas sem risco inerente. Por isso o relato ficou sem correção, como tantos outros reports de crash que, segundo Suman Jana, da Columbia University, a maioria das pessoas não leva a sério.

Neste ano, a Calif se ofereceu para auditar o PHP de forma independente, com patrocínio da OpenAI. Em duas semanas, um pesquisador da equipe, com ajuda de ferramentas de IA, achou um jeito de usar o bug para executar código arbitrário no servidor. Jana explica que explorar a falha exige saltar para um ponto específico da memória e definir quais bits sobrescrever, e em que ordem. Não é ciência de foguete, diz ele, é raciocínio específico e trabalhoso, onde a IA se saiu bem. A Wiz confirmou e ampliou as vulnerabilidades. Do outro lado, quatro engenheiros levaram dois meses para entregar o patch, porque corrigir exige fechar todas as partes do ataque sem quebrar funcionalidades existentes. Jana também cita verificação formal, com um LLM gerando o patch, outro gerando a prova e um verificador formal checando, já que LLMs alucinam.

A cobertura anterior mostra a evolução do mesmo caso. Em 22 de outubro de 2026, o CEVIU noticiou "Patch the Planet: IA da OpenAI ajuda a achar falhas críticas no PHP antes dos atacantes", sobre a coalizão liderada pela OpenAI, com a Calif achando uma falha com o GPT‑5.6 Sol e a Wiz participando. Na mesma data, em "Falhas críticas no PHP encontradas com ajuda de IA levam sites a ficarem temporariamente fora do ar", o foco foram as atualizações emergenciais. A matéria atual acrescenta a origem do problema (um crash de 2024 ignorado) e o contraste de esforço entre achar o exploit e corrigi-lo.

Para quem mantém aplicações em PHP, WordPress ou Drupal, a leitura é direta: crash não é mais bug de baixa prioridade só porque não parece exploitável. Com IA reduzindo o custo do raciocínio de exploração, backlog de reports antigos vira superfície de risco. E manter dependências atualizadas deixa de ser rotina e passa a ser defesa.