Uma reportagem publicada pela Forbes em 23 de outubro de 2026 atribuiu ao GPT-5.6 Sol a identificação de falhas graves no PHP durante o trabalho do Patch the Planet, uma iniciativa liderada pela OpenAI. Em 21 de outubro, o projeto PHP anunciou a versão 8.5.12 para corrigir CVE-2026-109618 e CVE-2026-109619, vulnerabilidades que, segundo o aviso oficial, podem permitir execução remota de código sem autenticação. (Aviso oficial do PHP)
Como a OpenAI participou do caso do PHP
Segundo a Forbes, pesquisadores internos e externos usaram o GPT-5.6 Sol no Patch the Planet para localizar falhas; a OpenAI e seus colaboradores passaram mais de dois meses validando as descobertas e as correções antes da divulgação pública. O aviso do PHP identifica PHP 8.5.12 como a versão de segurança para usuários da linha 8.5 e recomenda a atualização como a única opção segura para essa linha.
O que os níveis Blue e Red do Daybreak permitem
O Project Daybreak, também chamado Trusted Access for Cyber, oferece níveis de acesso com modelos e controles diferentes. A orientação da OpenAI descreve uma redução de recusas em modelos compatíveis, não a retirada geral de salvaguardas.
| Nível | Acesso a modelos | Aprovação e uso |
| Blue | Menos recusas em modelos de uso geral compatíveis para trabalho defensivo verificado. Não inclui modelos especializados em cibersegurança; o Astra mantém as proteções padrão. | O trabalho deve ser autorizado e defensivo. |
| Red | Pode incluir modelos específicos de cibersegurança, como GPT-5.5-Cyber, e menos recusas em alguns modelos compatíveis. | Exige aprovação separada e verificação mais rigorosa; alguns modelos exigem aprovação adicional. |
A OpenAI restringe o Daybreak a sistemas que a pessoa ou organização possui, opera ou tem autorização explícita para testar ou analisar. O programa não permite uso em trabalhos para clientes externos nem em fluxos de trabalho de terceiros. (Regras do Daybreak publicadas pela OpenAI)
O que a AWS observou antes da divulgação
A AWS relatou uma tentativa de exploração do PHP2Shell registrada pela telemetria MadPot em 17 de outubro de 2026. A divulgação pública ocorreu em 21 de outubro, às 14h UTC. A AWS disse que não estava claro se as tentativas teriam funcionado em sistemas reais nem como o agente obteve as informações sobre a vulnerabilidade. (Relato da AWS Threat Intelligence)
A matéria anterior da NeoTeo sobre as versões do PHP corrigidas para duas falhas críticas reúne a cobertura das versões corrigidas. O episódio da AWS acrescenta um registro de tentativa anterior à divulgação, sem confirmar comprometimento de sistemas reais.
Por que a revisão humana continua importante
A Forbes informou que 1.316 dos 1.995 problemas identificados pelo Patch the Planet ainda aguardavam correção. Em outro dado atribuído pela publicação a uma auditoria da Trail of Bits, 16 de 130 correções escritas por IA e implantadas causaram problemas funcionais; uma apresentou um problema de desempenho. A reportagem também descreveu a revisão humana como um trabalho que ainda exigia esforço significativo.
