Inteligência Artificial descobre vulnerabilidades no PHP: o início de uma nova era na segurança de software?
As vulnerabilidades conhecidas como PHP2Shell, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, trouxeram um exemplo importante de como a Inteligência Artificial está transformando a segurança de software.
Divulgadas em outubro de 2026, essas duas falhas críticas no núcleo do PHP poderiam permitir a execução remota de código (RCE), inclusive sem autenticação, em determinadas condições. Diferentemente de um ataque convencional por meio de um formulário ou campo de entrada, a exploração envolvia problemas internos de gerenciamento de memória e estado do interpretador PHP.
O aspecto mais interessante, entretanto, foi a participação da IA na pesquisa. Pesquisadores da Calif, da Wiz e da OpenAI utilizaram ferramentas de inteligência artificial para identificar e investigar essas falhas. Posteriormente, a equipe de segurança do PHP publicou as correções.
Isso pode representar o início de uma nova fase: sistemas de IA capazes não apenas de identificar vulnerabilidades, mas também de monitorar ambientes, propor correções e, futuramente, aplicar soluções automaticamente, comunicando os responsáveis somente depois da intervenção.
Vibe Coding: quando a produtividade pode comprometer a segurança
Em 2025, preocupações com a segurança de ferramentas de IA, especialmente modelos chineses como o DeepSeek, levaram organizações e órgãos governamentais a restringir seu uso em determinados ambientes. Entre os riscos discutidos estavam a exposição de informações confidenciais e o tratamento de dados enviados aos serviços externos.
Outro problema está relacionado ao chamado Vibe Coding, prática em que o desenvolvedor utiliza IA para gerar programas por meio de instruções em linguagem natural, muitas vezes sem revisar detalhadamente o código produzido.
O perigo não está necessariamente na IA, mas na confiança excessiva em um código que o próprio desenvolvedor não compreende. Uma dependência vulnerável, uma rotina insegura ou até um componente malicioso pode acabar incorporado ao sistema sem que ninguém perceba.
Afinal, os modelos de IA aprendem padrões a partir de grandes volumes de código e informações disponíveis. Isso não significa que simplesmente copiem código malicioso, mas também não garante que tudo o que produzem seja seguro.
A mesma tecnologia que pode ajudar um invasor a encontrar uma vulnerabilidade também pode ajudar um especialista a descobri-la, compreendê-la e corrigi-la.
O futuro da segurança de software talvez não dependa apenas de quem programa melhor, mas de quem consegue utilizar a IA para encontrar e corrigir problemas antes que sejam explorados.