A OpenAI afirmou que a Calif usou seu modelo GPT-5.6 Sol para identificar uma das duas vulnerabilidades críticas no PHP que pesquisadores da Wiz descobriram de forma independente. Patches para CVE-2026-109618 e CVE-2026-109619 foram lançados em 21 de outubro de 2026, e o FBI alertou que as falhas poderiam permitir execução remota de código no núcleo do PHP.
Segundo CZ, detalhes das vulnerabilidades vazaram prematuramente, e a exploração em ataques no mundo real foi confirmada quase imediatamente após a divulgação.
A OpenAI relatou a descoberta e a correção de duas vulnerabilidades críticas no PHP por meio de sua iniciativa Patch the Planet. Patches para as falhas foram lançados em 21 de outubro de 2026, enquanto o FBI alertou que elas poderiam permitir que agentes maliciosos executassem código remotamente no núcleo do PHP e potencialmente comprometessem dados sensíveis e redes.
As vulnerabilidades, rastreadas como CVE-2026-109618 e CVE-2026-109619, afetam o PHP, uma linguagem de programação amplamente usada que alimenta sites e aplicações web. A OpenAI afirmou que a Calif encontrou uma das vulnerabilidades usando o modelo GPT-5.6 Sol, enquanto especialistas da Wiz descobriram ambas de forma independente.
Os mantenedores do PHP lideraram o esforço de correção, com contribuições da OpenAI, da Wiz e da Cloudflare, segundo a OpenAI.
FBI e OpenAI pedem atualizações imediatas
Em uma publicação de 21 de outubro, o FBI pediu às organizações que atualizassem imediatamente as instalações afetadas do PHP e inventariassem todos os locais onde o PHP é executado, priorizando sistemas expostos à internet e produtos de fornecedores que incluem a linguagem. Caso uma atualização imediata não seja viável, a agência recomendou retirar o sistema afetado de operação até que ele possa ser totalmente mitigado.
O FBI também aconselhou as organizações a monitorarem servidores web em busca de atividade suspeita, incluindo processos PHP que iniciem inesperadamente shells de comando ou façam download de arquivos. Organizações que identificarem sinais de comprometimento devem isolar os sistemas afetados, preservar os logs do servidor web e do PHP e reportar o incidente a um escritório local do FBI ou por meio do serviço online de denúncias da agência.
A agência direcionou as organizações ao anúncio do PHP, ao CERT-EU Security Advisory 2026-018 e ao catálogo Known Exploited Vulnerabilities da Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos para informações atualizadas.
A OpenAI afirmou que instalar os patches deve ser a principal prioridade para organizações que usam PHP. A empresa também lançou um verificador de versão do PHP como uma habilidade do Codex para ajudar administradores a identificar versões potencialmente vulneráveis e determinar quais atualizações precisam aplicar.
Segundo uma publicação de CZ, detalhes das vulnerabilidades vazaram prematuramente online, e a exploração em ataques no mundo real foi confirmada quase imediatamente após a divulgação. CZ afirmou que as falhas poderiam ameaçar servidores que executam plataformas amplamente usadas, incluindo WordPress e Magento. Equipes de TI começaram a implementar regras de firewall de aplicações web e a instalar atualizações para proteger os sistemas.
OpenAI descreve resposta coordenada
A OpenAI classificou o caso como um dos maiores incidentes de segurança dos últimos tempos devido à gravidade das vulnerabilidades e ao uso disseminado do PHP. A empresa afirmou que, até onde tem conhecimento, modelos avançados de IA identificaram as falhas antes de agentes maliciosos, dando a desenvolvedores e fornecedores de segurança tempo para preparar patches e mitigações antes da divulgação pública.
A OpenAI também alertou que atacantes poderiam usar as mesmas capacidades de IA para desenvolver rapidamente ferramentas de ataque e exploits.
Com base na resposta do PHP, a OpenAI propôs uma abordagem de cinco etapas para lidar com vulnerabilidades críticas em softwares amplamente usados. A primeira etapa reúne mantenedores, pesquisadores e parceiros técnicos para confirmar a vulnerabilidade, avaliar seu impacto, desenvolver uma correção e testá-la contra possíveis contornos.
A segunda etapa fornece aviso prévio a organizações que precisam de tempo de preparação, permitindo que distribuidores adaptem correções para versões antigas e que provedores de serviços testem medidas de proteção. A terceira coordena-se com parceiros governamentais que podem distribuir orientações a organizações responsáveis por infraestrutura crítica e serviços essenciais.
A quarta etapa envolve distribuidores, provedores de hospedagem, provedores de serviços e equipes de resposta a incidentes na preparação de atualizações para produtos vulneráveis. A etapa final abrange a publicação de instruções de atualização, mitigações temporárias e recomendações de verificação de sistemas, além de suporte à implementação.
A OpenAI afirmou que os cronogramas de resposta devem mudar se houver indícios de exploração ativa, se ocorrer um vazamento de dados ou se atrasos na entrega de uma correção aumentarem os riscos para os usuários.
Por meio do Patch the Planet, a OpenAI também trabalha com agências governamentais de segurança cibernética e ajuda a coordenar esforços para proteger sistemas vulneráveis. Separadamente, a empresa anunciou planos de fornecer US$ 1 bilhão em acesso subsidiado ao Daybreak por meio do programa Daybreak for Frontline Defenders, destinado a organizações que protegem serviços essenciais, mas dispõem de recursos de segurança limitados.
Fonte: HODL Press
