A última semana foi marcada por uma enxurrada de vulnerabilidades de software graves e críticas, que afetaram milhares de grandes sites e espalharam pânico entre as pessoas. Duas falhas de execução remota de código (RCE) no PHP, apelidadas de PHP2Shell, foram encontradas por equipes de segurança separadas da Calif e da Wiz, ambas usando modelos de IA de fronteira para localizar as falhas e construir exploits funcionais. Estimativas sugerem que o bug pode afetar mais de 70% da internet, com milhares de sites impactados, incluindo a Wikimedia Foundation, o DeviantArt, grande parte do governo do Reino Unido, sistemas bancários japoneses e o site The Traitors da BBC.
Uma das falhas, CVE-2026-109618, havia sido na verdade sinalizada em uma auditoria de segurança de 2024 da PHP Foundation, financiada pela Sovereign Tech Agency. A equipe a deixou de lado porque tinha preocupações maiores e não conseguiu concordar sobre uma correção, argumentando que ninguém conseguiria construir um exploit real a partir do problema teórico. Os modelos de IA mudaram esse cálculo. Eles são muito bons em transformar uma descrição vaga de vulnerabilidade em um exploit completo, e agentes agora conseguem analisar diffs de patches em questão de instantes após o lançamento para chegar à falha.
O embargo desmoronou quando um usuário chamado petecooper publicou sobre os CVEs no Hacker News, aparentemente sem saber que havia um embargo. O PHP Group apressou a publicação do patch de quinta-feira, 22, para quarta-feira, 21, mas a correção ainda não estava prevista para mais um dia. As pontuações CVSS vazadas de 10.0 também estavam incorretas, com a pontuação real registrada como 9.2. Quando o patch foi lançado, o bug já estava sendo explorado na natureza.
A PHP Foundation culpou a Calif, que teria vazado um vídeo do exploit, e a Chainguard, que publicou correções seis horas antes do fim do embargo. A sequência de eventos é confusa, mas parece que várias falhas interligadas permitiram que atacantes alcançassem sistemas antes que os administradores pudessem aplicar os patches.
Fonte: Hacker News · Resumido por HeadlinesBriefing