AI Hacker: a crise de segurança que derrubou sites de PHP no mundo
Governos recomendando tirar sistemas do ar. Milhões de tentativas de ataque na internet. E a inteligência artificial no centro de uma corrida para proteger a web. Parece roteiro de filme, mas é uma crise de segurança real, e está acontecendo agora.
Quem tirou o site do ar
O Porto de Rotterdam. A Federação Holandesa de Futebol. O portal do governo holandês. O governo da República Tcheca, por recomendação da autoridade nacional de cibersegurança. Na Finlândia, serviços públicos de internet do governo foram suspensos. E até a Wikimedia, a organização responsável pela Wikipédia, retirou sistemas do ar preventivamente.
Tudo por causa de duas falhas críticas no PHP. E o PHP está por trás de quase 70% dos sites cuja linguagem de servidor é conhecida. Eu mesmo deixei de programar em PHP faz uns 20 anos, e olha quem precisou desligar o site.
A porta com a fechadura defeituosa
Imagina uma porta com uma fechadura defeituosa. O defeito está lá faz anos. Já perceberam, tentaram consertar, mas o trabalho travou. Só que abrir essa porta sem chave exige uma sequência muito complicada de movimentos.
É aí que entra a inteligência artificial. Ela ajudou pesquisadores a descobrir e testar essa sequência de movimentos. Como eles mesmos escreveram, modelos avançados de IA reduziram substancialmente a barreira, transformando uma falha antiga em um ataque funcional. Abrir a porta, nesse caso, significa fazer o computador que mantém o site funcionando obedecer a comandos de quem não tem autorização.
E a falha não é nova. Sinais de uma delas já tinham sido identificados em 2024. A própria Fundação PHP reconheceu que houve demora, e no meu pensamento isso foi negligência. Alerta técnico não espera.
A escalada em horas
Enquanto as organizações tiravam seus sites do ar, a Cloudflare registrava as tentativas de exploração. Segundo o presidente da empresa, nas 10 horas anteriores à divulgação pública foram milhares. Nos primeiros 45 minutos depois do anúncio, dezenas de milhares. Nas 2 horas seguintes, centenas de milhares. Depois, milhões.
Ele fez questão de dizer que são tentativas, não invasões confirmadas. Mas a recomendação é direta: se você não atualizar o seu PHP, tira o site do ar.
Lembra que tempo atrás eu falei aqui no canal que os LLMs seriam muito bons para cibersegurança, e que OpenAI e Anthropic estavam testando isso forte? Muita gente disse que os anúncios eram exagerados. Agora dá para ver na prática. A IA ajudou a demonstrar ataques funcionais em cima de sinais que a Fundação PHP já conhecia e não corrigiu a tempo.
E a Amazon?
Agora olha isso. Uma tentativa de explorar essas falhas já estava registrada nos sistemas da Amazon no dia 17 de outubro. Quatro dias antes da divulgação pública. O registro veio de um servidor isca mantido pela própria equipe de segurança da Amazon, uma armadilha digital criada para observar ataques. Segundo a Wired, a equipe reconheceu a tentativa no dia 21, revisando registros anteriores. Então ter o registro do dia 17 não significa que a Amazon tivesse entendido o ataque naquele dia.
Mas tem um ponto que merece explicação. A diretora da Fundação PHP disse à Wired que a fundação não conhecia essa pesquisa antes de ela ser publicada. Se a Amazon estava testando a vulnerabilidade e recebeu um ataque, por que não procurou os responsáveis pelo PHP? Uma descoberta desse tipo protege milhares de sistemas. A comunicação entre equipes de segurança precisa ser rápida e clara, e a Amazon precisa explicar quando confirmou a descoberta e por que não avisou.
Três lições
Essa história mostra três coisas juntas. Primeira: a falha era séria e derrubou sites e serviços no mundo todo. Segunda: a IA encurtou brutalmente o caminho entre a ideia e a demonstração do ataque. Terceira: o tempo entre perceber, confirmar e comunicar ficou curto demais.
Se um alerta técnico aparece, não dá para tratar como detalhe. Transparência, prioridade e resposta rápida fazem toda a diferença. E o uso consciente da IA em cibersegurança passa por entender que os modelos ajudam na defesa, mas mal usados ajudam no ataque. Enquanto alguém corre para corrigir, já tem gente do outro lado tentando explorar.
Se você quer discutir esse tipo de caso comigo e com a galera do canal, entra no grupo de WhatsApp. Esse assunto está longe de acabar.