Como a IA ajudou a revelar as falhas do PHP2Shell

Uma vulnerabilidade relacionada ao limite de memória do PHP foi documentada em 2004. Em 2024, uma auditoria encontrou um problema parecido, mas não conseguiu demonstrar que ele pudesse ser explorado. Em agosto de 2026, pesquisadores voltaram a essa trilha com ajuda de inteligência artificial e encontraram falhas que acabaram levando ao PHP2Shell.

O ponto interessante não é que um modelo recebeu um comando e descobriu tudo sozinho. A pesquisa avançou porque especialistas conheciam o histórico do PHP, usaram modelos para explorar hipóteses no código e testaram as pistas. Outra equipe chegou a achados relacionados de forma independente. Depois, os mantenedores do PHP confirmaram os relatos e lideraram as correções.

A pista concreta que a IA ajudou a encontrar

O pesquisador da Calif começou investigando o que acontecia quando o PHP ficava sem memória durante uma operação. Em seu relato, ele diz que pediu ajuda a um modelo de linguagem para encontrar caminhos que pudessem provocar essa interrupção de forma controlada.

Depois veio uma pergunta mais específica: se a execução parasse no meio de uma operação, o que o PHP faria ao limpar o estado deixado para trás? Durante a leitura do código, o agente chamou atenção para uma ordem delicada: o programa registrava um item como existente antes de terminar de alocá-lo. Se a operação falhasse naquele intervalo, a rotina de limpeza poderia tratar como válido algo que ainda não tinha sido preparado por completo.

Em linguagem simples, era como atualizar a lista de tarefas antes de concluir uma delas. Se o processo fosse interrompido naquele momento, uma etapa posterior confiaria numa informação incompleta. A equipe verificou o comportamento em testes e usou essa pista para procurar situações parecidas em outras partes do PHP. O relato da Calif sobre a pesquisa descreve como essa busca levou a novas variantes.

O modelo ajudou a explorar uma hipótese e destacou uma sequência que merecia investigação. O pesquisador trouxe o contexto histórico, decidiu o que testar e verificou se a pista levava a uma falha real.

Duas pesquisas avançaram em paralelo

A Calif conta que encontrou sua primeira falha em 1º de agosto de 2026. Reportou o primeiro problema ao projeto PHP em 11 de agosto, compartilhou uma prova de conceito em 14 de agosto e recebeu confirmação dos mantenedores no dia seguinte. Em 21 de agosto, comunicou uma segunda falha.

A Wiz conduziu uma investigação independente. Segundo a cronologia publicada pela Wiz Research, a equipe encontrou sua primeira vulnerabilidade em 19 de agosto, confirmou execução remota de código em testes com Drupal e WordPress nos dias seguintes e comunicou os achados ao PHP em 24 de agosto. A Wiz diz ter usado sua plataforma Atlas junto com Gemini 4 Argon e GPT-5.6 Sol; também atribui ao Gemini uma contribuição importante na descoberta e na validação de correções.

A OpenAI atribui à Calif uma descoberta crítica com GPT-5.6 Sol no programa Patch the Planet e confirma que a Wiz encontrou e reportou as duas vulnerabilidades de forma independente. Os relatos, portanto, descrevem pesquisas que se cruzaram numa resposta comum, mas não uma única descoberta feita por uma equipe ou por um modelo. Os mantenedores do PHP reconheceram os relatos da Wiz em setembro e lideraram o lançamento das versões corrigidas em 21 de outubro. A nota da OpenAI sobre a coordenação detalha a participação de pesquisadores, mantenedores e fornecedores.

Como uma hipótese virou uma falha confirmada

Uma sugestão do modelo não bastava para concluir que havia uma vulnerabilidade. Os pesquisadores precisavam reproduzir o comportamento, avaliar o impacto e enviar evidências aos responsáveis pelo PHP. Os relatos descrevem confirmações dos mantenedores e testes em aplicações conhecidas, etapas que ajudaram a separar uma hipótese promissora de um problema real no runtime.

Depois da confirmação, o trabalho mudou de natureza. Os mantenedores precisavam corrigir a causa sem quebrar o comportamento esperado do PHP e preparar uma divulgação coordenada. A OpenAI diz que pesquisadores e parceiros também ajudaram a testar correções e a preparar orientações antes do anúncio público. A IA podia auxiliar a investigação e a procura por variantes; decidir se o patch resolvia o problema continuava dependendo de testes, revisão especializada e dos mantenedores.

O que o caso demonstra — e o que ainda não sabemos

O PHP2Shell mostra modelos ajudando em tarefas específicas: explorar caminhos no código, investigar comportamentos inesperados e apoiar testes. A Calif relata que o conhecimento sobre falhas antigas do PHP foi importante para direcionar a busca. Não foi uma varredura em que a IA encontrou qualquer problema sem orientação.

Também é preciso separar os relatos das empresas de uma medida independente do desempenho dos modelos. Os materiais públicos descrevem as ferramentas e algumas contribuições, mas não apresentam uma comparação controlada que diga quanto tempo a IA economizou ou que parcela da descoberta veio exclusivamente dela. Por isso, o caso sustenta que modelos foram úteis nessas pesquisas; não prova que uma IA, sozinha, encontre vulnerabilidades em qualquer sistema.

No artigo sobre o impacto do PHP2Shell e as medidas para atualizar o PHP, reunimos as interrupções preventivas e as orientações para administradores. Aqui, o foco é como pesquisadores usaram IA para investigar falhas antigas.

O que isso tem a ver com a sua empresa?

O PHP2Shell mostrou que um risco pode estar na tecnologia por trás de um site ou sistema, não apenas no código que as pessoas veem. Para uma empresa, isso levanta perguntas importantes: quem acompanha as tecnologias da plataforma, avalia atualizações e explica o impacto delas na operação?

Não é preciso conhecer os detalhes do PHP para fazer essas perguntas. Ao criar ou modernizar um produto digital, vale definir desde o início como ele será cuidado e evoluído depois de entrar no ar.

Está planejando um site, app ou sistema para a sua empresa? A Pump pode ajudar a pensar a arquitetura e construir a solução com estratégia, design e engenharia.