A IA encontrou uma falha que pôs governos a desligar sites

Esta semana, vários governos desligaram sites por causa de duas falhas no PHP, a linguagem de programação por trás de cerca de 70% dos sites do mundo, incluindo os feitos em WordPress. Quem visita um site não a vê, mas é ela que monta as páginas e recebe os formulários.

O que está em causa. Com estas falhas, um atacante pode entrar no computador onde o site está alojado, sem precisar de palavra-passe. Ambas têm gravidade 9,2 numa escala até 10. A correção saiu a 21 de outubro, mas cada site tem de ser atualizado, um a um.

Quem as encontrou. Em agosto, a empresa de segurança Calif encontrou uma das falhas com o GPT-5.6 Sol, um modelo da OpenAI. A Wiz, empresa de segurança da Google, encontrou as duas por conta própria. Durante dois meses, a OpenAI coordenou em segredo a correção com quem mantém o PHP e com governos.

Os ataques chegaram antes da correção. Os detalhes foram divulgados sem autorização a 20 de outubro, antes da data combinada. A OpenAI diz que a IA encontrou as falhas antes dos atacantes, mas a Cloudflare, que protege uma parte grande da internet, viu os primeiros ataques na manhã de dia 21, horas antes de a correção sair.

Governos em alerta. Em França, saíram do ar os sites de todos os municípios. Nos Países Baixos, o parlamento e a própria agência de cibersegurança. Também houve serviços públicos desligados na Finlândia, na Dinamarca e na Bélgica. A NSA, nos EUA, aconselhou a tirar da internet os sites por corrigir. Em Portugal, o Centro Nacional de Cibersegurança publicou recomendações.

Se a empresa tem um site. Se é WordPress, Joomla, Drupal ou Magento, usa PHP. Quem aloja ou gere o site deve confirmar que já tem a versão corrigida. O PHP 8.1 ou anterior não tem correção oficial: é preciso atualizar ou proteger o site. Se houver sinais de ataque, o CNCS recomenda isolar o servidor e guardar os registos.

O que muda. A própria OpenAI avisa que as mesmas capacidades que encontram falhas ajudam a construir ataques. Desta vez, entre a fuga e os primeiros ataques passou menos de um dia. O risco maior está nos sistemas que ninguém atualiza: o site feito há cinco anos, o servidor que ninguém sabe quem gere.