Uma falha permaneceu escondida na maioria da internet por 10 anos, até que a IA mostrou aos hackers como explorá-la. O site que armazena seus dados pode ter tido uma porta aberta por uma década, e a IA acabou de encontrar a maçaneta. Atacantes não precisam de nome de usuário nem senha — apenas um único pedido bem elaborado, e um servidor sem correção é deles. A falha é chamada de "PHP2Shell". Pesquisadores supostamente usaram um modelo avançado da OpenAI para descobrir como explorá-la, após ela ter confundido especialistas por anos. Aqui está o que isso significa em linguagem simples e o que fazer antes que alguém a use contra você. PHP é o mecanismo silencioso que executa sites WordPress, lojas online, portais governamentais, páginas de pagamento e muitos sites de projetos de criptomoedas. Cerca de 7 em cada 10 sites cujo idioma do servidor é conhecido rodam nele. As duas falhas estão dentro do próprio PHP, não no site construído sobre ele. Um atacante envia a solicitação correta e pode executar seus próprios comandos no servidor. A partir daí, ele pode roubar dados de clientes, instalar malware, derrubar o site ou usar esse servidor como porta de entrada para tudo mais na rede. A parte da IA é a verdadeira história, e esta é minha análise: se a IA pode transformar bugs antigos em ataques funcionais, o intervalo entre descoberta e dano ficou muito mais curto. As autoridades estão tratando assim. O FBI supostamente está incentivando sites que não conseguem corrigir a ir offline, e uma autoridade cibernética nacional deu a todos os órgãos governamentais 7 dias para corrigir e relatar. Se você apenas navega na web, visitar um site PHP não significa que você foi hackeado. O verdadeiro risco são seus dados pessoais armazenados em sites que ainda não foram corrigidos. Para usuários de criptomoedas, um site de projeto sequestrado nunca precisa tocar diretamente sua carteira. Ele só precisa trocar um script, para que o botão "conectar carteira" que você confia leve a um código criado para esvaziar sua conta. A correção já existe. O Projeto PHP já lançou versões corrigidas: 8.2.35 8.3.36 8.4.27 8.5.12 Se você administra um site, aqui está a lista de verificação: 1. Encontre todos os sites e servidores que executam PHP, incluindo os gerenciados por seu provedor ou desenvolvedor. 2. Atualize o próprio PHP para uma versão corrigida e reinicie-o. Atualizações de tema ou plugin sozinhas não resolvem nada aqui. 3. Se não puder corrigir hoje, retire o site do ar até que possa. 4. Verifique logs, contas de administrador desconhecidas e arquivos alterados para sinais de que alguém já entrou. 5. Obtenha confirmação por escrito de seu provedor ou desenvolvedor de que a correção está ativa. E ignore qualquer mensagem oferecendo uma "atualização de segurança do PHP" ou pedindo senhas e pagamento. Correções reais nunca chegam em suas DMs. A IA acabou de encurtar o intervalo entre um bug oculto e um ataque ativo a menos do que a maioria das empresas leva para corrigir. Os que ainda estão esperando já estão atrasados.
