OpenAI propõe cinco etapas para responder a falhas críticas como as do PHP

Em 21 de outubro de 2026, a OpenAI publicou uma proposta de cinco etapas para responder a vulnerabilidades críticas e relatou como coordenou a resposta a duas falhas graves no PHP. O arquivo oficial do PHP identifica os problemas como CVE-2026-109618 e CVE-2026-109619 e lista quatro versões corrigidas. O relato da OpenAI atribui papéis diferentes às organizações envolvidas; os detalhes técnicos e as versões vêm do arquivo oficial do PHP.

O que as duas falhas permitem

As duas vulnerabilidades podem permitir execução remota de código sem autenticação, ou seja, a execução de código no servidor por uma solicitação externa sem que o invasor precise entrar na conta de um usuário.

A CVE-2026-109618 envolve uma falha de falta de memória. O processamento de uma solicitação pode ser interrompido enquanto dados internos ainda estão parcialmente inicializados; durante a limpeza, o PHP pode tratar dados inválidos como válidos.

A CVE-2026-109619 envolve estado global obsoleto. Dados internos de uma solicitação podem permanecer acessíveis depois que a memória que os sustentava foi liberada. Uma solicitação posterior, atendida pelo mesmo processo de trabalho, pode usar esse estado antes que a inicialização o redefina.

O PHP considera potencialmente expostas as instalações que atendem solicitações web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Entre essas configurações, o projeto aponta o mod_php como a de maior risco.

Quais versões corrigem os CVEs

O PHP lista as seguintes versões corrigidas, cada uma para sua própria ramificação:

A lista também aparece na cobertura anterior do NeoTeo sobre as versões corrigidas do PHP. Distribuições Linux e fornecedores de suporte de longo prazo podem oferecer correções adaptadas aos próprios pacotes, então o número da versão upstream, por si só, não indica qual pacote está instalado em um servidor.

O PHP 8.1 e as versões anteriores já não recebem correções diretamente do projeto. Distribuições e fornecedores podem oferecer backports, e o projeto publicou backports mínimos de código-fonte para PHP 7.4, 8.0 e 8.1. O PHP recomenda consultar o fornecedor responsável pela instalação antiga ou migrar para uma versão com suporte.

Medidas temporárias podem reduzir a exposição a caminhos específicos, mas não tornam uma instalação segura. Segundo o PHP, atualizar para uma versão corrigida é a solução completa.

O modelo de cinco etapas proposto pela OpenAI

A OpenAI propôs o processo como um modelo para futuras respostas a vulnerabilidades críticas em software amplamente usado. A sequência começa nos mantenedores do projeto afetado e termina com orientações para quem precisa aplicar as correções:

1. Validar a falha e corrigir o projeto de origem, com testes da correção e tentativas de encontrar formas de contorná-la.
2. Dar tempo para as organizações afetadas se prepararem antes da divulgação.
3. Coordenar com parceiros governamentais para apoiar a proteção de sistemas críticos.
4. Preparar atualizações para os produtos afetados, com distribuidores, provedores de hospedagem e outros operadores.
5. Publicar recomendações e apoiar a implementação depois que a correção estiver disponível.

A proposta deixa aos mantenedores a decisão sobre quais organizações envolver antes da divulgação. A OpenAI diz que essa escolha deve considerar o papel de proteção de cada organização, sua capacidade de lidar com informações sensíveis e o tempo necessário para agir. O cronograma também poderia ser reavaliado diante de exploração ativa, vazamento de detalhes, divulgação da falha por um patch público ou aumento do risco para os usuários causado por atrasos.

A quem a OpenAI atribui as descobertas

A OpenAI afirma que a organização Calif identificou uma das falhas usando GPT-5.6 Sol e que a Wiz encontrou e reportou as duas vulnerabilidades de forma independente. Segundo a empresa, os mantenedores do PHP lideraram as correções e sua publicação. A OpenAI também cita contribuições de pesquisa, suporte técnico e coordenação de parceiros como Wiz e Cloudflare; no caso do PHP, diz ter trabalhado com órgãos governamentais dos Estados Unidos e parceiros internacionais.

A empresa afirmou ainda que se comprometeu a destinar US$ 1 bilhão a subsídios de acesso ao Daybreak por meio do programa Daybreak for Frontline Defenders, voltado a organizações que protegem serviços essenciais e têm recursos limitados para segurança.