BLACK OCTOBER: IA achou falha em 70% da internet, governos tiraram sites do ar e especialistas avisam que o pior ainda pode vir

A quinta-feira em que a internet entrou em modo de emergência

A CNN chamou de falha que afeta 70% da internet. O nome dela é PHP2Shell: duas vulnerabilidades críticas na linguagem PHP, que roda sites como WordPress e Drupal. Segundo a 404 Media, quem achou foram pesquisadores da Wiz, da Calif e da OpenAI, usando modelos de IA de ponta. O bug estava escondido no código havia mais de uma década, de acordo com a Wiz.

O que aconteceu: a NSA mandou quem usa PHP atualizar na hora ou tirar o sistema do ar. Sites de governos em vários países saíram do ar por precaução. Entre os que ficaram fora, a 404 Media cita o 4chan, serviços da Wikimedia e o Archive.org. O TechCrunch resumiu o dia assim: "a internet está tendo um péssimo dia de cibersegurança".

Os números da Cloudflare: milhares de tentativas de exploração nas 10 horas antes do anúncio público, dezenas de milhares nos 45 minutos seguintes, centenas de milhares em duas horas. O CEO, Matthew Prince, disse que o número já chega a milhões.

Ressalva importante: ainda não há exploração generalizada confirmada, e a falha já tem correção (PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35). Para o usuário comum não há risco direto: o problema está nos servidores que hospedam os sites.

Black October: 48 horas que não pararam no PHP

O apelido "Black October" nasceu num post viral no X que chamou as 48 horas anteriores de "as piores da história da cibersegurança". É uma frase de internet, não um fato medido. O que está confirmado nas fontes:

• LiteLLM: um invasor colocou código malicioso nos pacotes publicados no PyPI, Docker Hub e GHCR. O código roubava credenciais de nuvem, senhas e chaves de serviços de IA e abria acesso remoto à máquina. As versões foram removidas na quarta (21/10).
• eMudhra: autoridade certificadora indiana teve chaves privadas comprometidas, o que pode permitir certificados falsos e sites imitando sites legítimos. Especialistas descrevem a limpeza como "maior que o Heartbleed".
• Plex: quatro falhas do Plex Media Server estão sendo exploradas ativamente por hackers.
• Zeabur: 321.810 contas e cerca de 3,2 milhões de registros de variáveis de ambiente roubados, segundo o SecurityToday.
• Node.js: quatro falhas de alta gravidade corrigidas, uma delas permitia executar código remotamente.

Um contraponto da própria cobertura: muitos desses ataques começaram semanas ou meses atrás. A onda é de divulgações concentradas, e não de 48 horas de ataques novos.

Por que dizem que vai piorar

Ninguém garante o futuro, mas as fontes apontam as mesmas pressões:

• IA acelera o achado de falhas. O NCSC, órgão de cibersegurança do Reino Unido, avisa desde 1º de maio para a "patch wave": uma onda de correções que as equipes de TI terão de aplicar, porque a IA explora dívida técnica antiga em escala.
• Do aviso ao ataque em dias. A Rapid7 mediu uma média de 3 dias entre a divulgação e a exploração de falhas graves no 3º trimestre.
• Exploit pronto em um dia. Dan Guido, da Trail of Bits, disse que a empresa montou um exploit funcional em um dia com o Codex, embora ainda seja preciso conhecimento técnico.
• Mais divulgação por vir. A curl passa a divulgar publicamente falhas de gravidade baixa e média a partir de 26/10, por excesso de relatórios.
• Alerta de quem estuda o tema. Matthew Green, da Johns Hopkins, comparou o momento a "a parte do filme em que você joga o que tiver no caminho dos zumbis". O autor da 404 Media escreveu que "estamos prestes a descobrir o quanto a internet é insegura".

Do outro lado, há quem peça calma: o pesquisador Elias Taylor lembra que muita gente está sendo enganada pela IA, achando que tem um exploit quando não tem.

Por que importa

Pela primeira vez a descoberta de falhas por IA saiu do laboratório e fechou sites de governo no mundo todo num único dia. O que sustenta a manchete é isso: a mesma tecnologia que acha o buraco também ajuda quem quer atacar, e o prazo entre os dois está encolhendo. Para quem tem site, servidor ou chaves guardadas em plataformas: atualize o PHP, troque credenciais e confira as versões do LiteLLM.