A Agência de Segurança Nacional dos EUA (NSA) emitiu uma recomendação para que todos os websites que utilizam a linguagem de programação PHP realizem imediatamente uma atualização de software para sanar vulnerabilidades consideradas críticas.
A NSA aconselha que quaisquer sites construídos em PHP que ainda não tenham sido atualizados sejam removidos da internet, visto que essas falhas podem possibilitar o acesso aos servidores e aos dados das organizações, conforme divulgado através de uma comunicação na rede social X.
Em escala internacional, observaram-se impactos significativos: diversos sites foram desativados na Europa, incluindo os pertencentes a todas as autarquias francesas, seguindo uma solicitação da agência de segurança dos sistemas de informação. Na Finlândia, o portal governamental reportou que os sites estaduais estavam totalmente ou parcialmente inacessíveis por volta das 15:30 (16:30 em Lisboa).
Além disso, as plataformas de serviços públicos foram retiradas do ar na Dinamarca, nos Países Baixos e na Bélgica.
Anteriormente, a PHP Foundation, responsável por coordenar o desenvolvimento e a evolução da linguagem, havia emitido um comunicado detalhando a existência de duas vulnerabilidades. O PHP, cujo nome completo é Hypertext Preprocessor, é uma linguagem de programação desenvolvida no início dos anos 90 pelo programador canadiano-dinamarquês Rasmus Lerdorf, servindo como elo entre um site e um servidor que armazena bancos de dados.
A empresa de cibersegurança Palo Alto Networks informou que identificou 22 milhões de plataformas expostas a essas vulnerabilidades. Paralelamente, a OpenAI esclareceu que as falhas foram detectadas utilizando um de seus modelos mais recentes, o GPT-5.6 Sol.
A startup destacou, em uma mensagem publicada em seu site, que, dada a severidade e a vasta disseminação do PHP, este representa um dos problemas de segurança informática de maior impacto recente. A OpenAI também mencionou que a empresa de cibersegurança Wiz, que é subsidiária da Google, também localizou essas falhas.
A OpenAI ressaltou que isso demonstra como a inteligência artificial (IA) tem a capacidade de descobrir falhas com consequências que abrangem toda a internet, alertando ainda que essas mesmas capacidades podem ser usadas por hackers para acelerar o desenvolvimento de ataques.
Especialistas têm apontado que a IA alcançou um novo nível neste aspecto neste ano, levando a Anthropic a decidir não comercializar amplamente seu modelo Mythos, por considerá-lo excessivamente arriscado para a cibersegurança. A principal concorrente da OpenAI disponibilizou seu modelo apenas a um grupo seleto de organizações, permitindo que estas realizassem atualizações de software para corrigir as falhas descobertas pelo Mythos.
