IA detetou falhas críticas nos alicerces da Web: como um erro invisível ameaçou grande parte do mundo digital

Durante mais de uma década, duas linhas impercetíveis de código estiveram silenciosas no coração do motor que processa grande parte da Internet. Mantiveram-se invisíveis a dezenas de auditorias humanas, testes automatizados e milhares de programadores que mantêm uma linguagem de programação que está presente em cerca de 70% de todos os sites da web a nível global. Mas bastaram algumas semanas de escrutínio analítico realizado por modelos de inteligência artificial de última geração para que o segredo viesse à tona — desencadeando uma operação internacional de contenção e expondo a extrema fragilidade das fundações do ecossistema digital.

A encabeçar esta descoberta sem precedentes estiveram os mais avançados sistemas de inteligência artificial do planeta. A brecha foi inicialmente desvendada através do modelo GPT-5.6 Sol, da OpenAI, operado em colaboração com a consultora de cibersegurança Calif no âmbito da iniciativa global "Patch the Planet". Poucas semanas depois, e de forma totalmente independente, a equipa de investigação da Wiz chegou às mesmas conclusões, recorrendo ao poder de raciocínio profundo do novo Gemini 4 Argon, da Google integrado na sua plataforma de auditoria em cloud.

O facto de os dois maiores ecossistemas de IA do mundo terem convergido na mesma falha invisível transformou este caso na prova definitiva de que as máquinas entraram de vez na linha da frente da segurança informática.

As vulnerabilidades esta quarta-feira (21 de outubro) catalogadas oficialmente como CVE-2026-109618 e CVE-2026-109619 (já apelidadas pela comunidade técnica de "php2shell") receberam a classificação de severidade quase máxima de 9.2 em 10.

O seu impacto prático é devastadoramente simples: permitem a atacantes remotos executar código malicioso no servidor, assumir o controlo das máquinas e aceder a bases de dados confidenciais sem necessidade de qualquer palavra-passe ou autenticação prévia.

A gravidade do achado levou a uma reação em cadeia de escala planetária. Entidades como o CERT-EU (a equipa de resposta a emergências informáticas da União Europeia), o FBI e a NSA emitiram avisos urgentes dirigidos a governos, operadoras de telecomunicações e gestores de infraestruturas críticas.

A recomendação europeia foi tão drástica quanto reveladora da urgência: os organismos que não consigam aplicar as correções técnicas de imediato devem, pura e simplesmente, retirar os seus portais e serviços do ar.

Da Alemanha aos Países Baixos, passando pela Finlândia, Bélgica e pelo governo escocês, dezenas de páginas de serviços públicos, redes escolares e unidades de saúde suspenderam temporariamente as suas operações para blindar os servidores, de acordo com os boletins internacionais de cibersegurança.

O raciocínio artificial onde o olho humano falhou

A capacidade demonstrada pelo Gemini da Google e pelos modelos da OpenAI não derivou de um varrimento mecânico vulgar ou de ferramentas tradicionais de diagnóstico. Foi o resultado de um raciocínio dedutivo sobre transições complexas de memória que desafiavam a lógica dos testes convencionais.

Ao analisar o comportamento interno do sistema quando sujeito a situações de stress extremo, os algoritmos conseguiram modelar com precisão o que acontecia quando um pedido na Web forçava o servidor a esgotar a memória de forma abrupta a meio do envio de dados ou de ficheiros.

Nesses milissegundos críticos, o sistema ativava uma rotina de emergência para interromper o processo, mas deixava "pontas soltas": apontadores na memória que continuavam a referenciar áreas que já tinham sido descartadas.

Em servidores modernos, que reutilizam os mesmos processos para responder velozmente a milhares de visitantes em simultâneo, bastava a um atacante enviar de seguida um pedido concebido especificamente para capturar essas referências 'órfãs' e forçar a máquina a executar comandos arbitrários. Daí ser possível capturar a máquina sem necessitar de sequestrar palavras-passe ou outro tipo de senhas.

A "Janela do Defensor" como ferramenta de defesa

Para as tecnológicas de IA, este caso é já apresentado como a consagração prática da chamada "Janela do Defensor" (Defender's Window, no original técnico).

A tese sustenta que, enquanto os modelos analíticos mais avançados operarem com salvaguardas rigorosas e estiverem na dianteira das ferramentas de defesa, os especialistas ganham uma vantagem temporal sem precedentes: a capacidade de encontrar e retificar falhas sistémicas antes que o crime organizado consiga explorá-las.

Contudo, este caso ilumina também a dúvida sobre a sustentabilidade do modelo atual. A resolução do problema exigiu um embargo internacional estritamente confidencial durante dois meses, durante os quais os profissionais que mantêm o software de código aberto, equipas de investigação e empresas de infraestrutura de rede (como a Cloudflare) redesenharam rotinas centrais e instalaram filtros preventivos à escala mundial antes de qualquer anúncio público. O esforço humano e logístico necessário para construir o remédio esteve a anos-luz da rapidez com que as máquinas diagnosticaram o mal. E durante todo este tempo a vulnerabilidade - agora já conhecida por ainda mais pessoas - manteve-se lá.

Se os algoritmos conseguem hoje dissecar o código da Internet e apontar vulnerabilidades graves em questão de horas, será preciso criar condições para que o ecossistema digital tenha a capacidade humana e organizacional de responder com a mesma velocidade. Para os milhões de servidores espalhados pelo mundo que continuam a correr versões antigas sem suporte ou atualizações automáticas, a descoberta destas brechas funciona menos como uma vitória preventiva e mais como uma contagem decrescente para os primeiros ataques em massa.