OpenAI coordena resposta global a falhas críticas no PHP com Patch the Planet
Iniciativa une mantenedores, pesquisadores e provedores após agentes de IA e parceiros revelarem vulnerabilidades críticas no PHP; prioridade é aplicar as correções.
Foto: Sanket Mishra (Pexels)
A OpenAI anunciou nesta quarta-feira (21) a iniciativa Patch the Planet, após coordenar por cerca de dois meses uma resposta a vulnerabilidades críticas na linguagem de programação PHP, usada em grande parte da web. Segundo a empresa, a descoberta envolveu agentes de inteligência artificial (IA) e pesquisa humana, e a prioridade agora é aplicar as correções.
A falha batizada de php2shell — CVE-2026-109618 e CVE-2026-109619 — pode permitir que atacantes não autenticados executem código em servidores afetados. A OpenAI avalia o episódio como um dos problemas de segurança de maior impacto recente e diz que, até onde sabe, a IA de fronteira encontrou as falhas antes de atacantes, abrindo uma “janela do defensor”.
O que aconteceu
Nos últimos dois meses, a OpenAI liderou uma coalizão de mantenedores, pesquisadores e provedores de segurança para tratar as falhas no PHP. A Calif identificou um defeito crítico usando o modelo GPT-5.6 Sol no âmbito do Patch the Planet; a Wiz descobriu e reportou as duas vulnerabilidades de forma independente. Os mantenedores do PHP lideraram as correções e o lançamento das atualizações, com apoio técnico e de coordenação da OpenAI e de parceiros como Wiz e Cloudflare, para preparar proteções antes da divulgação pública.
Para quem usa PHP, a empresa aponta um verificador de versão e diz que lançará uma habilidade do Codex para ajudar operadores a identificar instalações potencialmente vulneráveis e, com orientação dos mantenedores e provedores, definir quais atualizações aplicar. O site Patch the Planet concentra divulgações e guias, incluindo o patch oficial, pesquisas dos parceiros, mitigações temporárias e orientações de backup e recuperação.
A OpenAI descreve um processo em cinco etapas para falhas em software amplamente usado: validar e corrigir na origem, com testes adversariais com modelos de fronteira; dar tempo a organizações afetadas para preparar proteções — por exemplo, regras de firewall de aplicação web (WAF); coordenar com parceiros governamentais para alcançar infraestrutura crítica; preparar atualizações em produtos afetados; e, com o patch disponível, publicar orientação e apoiar a implantação. No caso do PHP, afirma ter trabalhado, com parceiros, com partes do governo dos Estados Unidos — incluindo a força de superinteligência da Casa Branca, o Escritório do Diretor Nacional de Cibersegurança (ONCD) e a Agência de Cibersegurança e Segurança de Infraestrutura (CISA) — e com parceiros internacionais.
A companhia comprometeu US$ 1 bilhão em acesso subsidiado ao Daybreak, via Daybreak for Frontline Defenders, voltado a organizações com poucos recursos de segurança que protegem serviços essenciais. Diz que essas falhas estão entre várias já encontradas e em correção, e que espera um aumento acentuado de achados semelhantes nos próximos meses. Mantenedores de código aberto podem pedir apoio pelo Patch the Planet; a OpenAI cita ainda assinaturas via Codex for OSS e patrocínio a projetos como a Rust Foundation.
O que isso pode mudar
Se o ritmo de descoberta por IA de fronteira se acelerar como a OpenAI projeta, a coordenação prévia entre mantenedores, provedores de hospedagem, empresas de segurança e agências pode se tornar o padrão para falhas de alcance global. O mesmo poder de análise que encurta o tempo até o achado pode, na visão da empresa, ajudar atacantes a desenvolver ferramentas ofensivas com rapidez; daí a ênfase em preservar uma “janela do defensor” antes da divulgação.
O quadro proposto também pode aliviar — ou redistribuir — pressão sobre equipes pequenas de código aberto, que acumulam triagem de relatórios e desenvolvimento rotineiro. Financiamento, acesso a modelos e ajuda de engenharia poderiam reduzir gargalos, mas a própria OpenAI admite que classificadores de bloqueio no Daybreak envolvem trade-offs: salvaguardas contra abuso podem atrapalhar trabalho legítimo de segurança. Ao pedir feedback sobre janelas de divulgação, aviso antecipado e pacotes seguros por padrão, a empresa trata o modelo como hipótese em teste, não como consenso consolidado.
Fontes: OpenAI — Patch the Planet; Patch the Planet; Hacker News.
Leia mais em: mundodosnegocio.com.br