Tsunami de Vulnerabilidades: estamos preparados?

** Imagem decorativa em detaque acima gerada pelo Gemini 3 **

Duas vulnerabilidades críticas no PHP, falhas antigas encontradas com auxílio de inteligência artificial e várias novas CVEs. As últimas semanas deram sinais de que estamos atravessando uma mudança importante na forma como vulnerabilidades são descobertas (e exploradas). As últimas duas semanas foram particularmente intensas para quem acompanha cibersegurança. Alias, o mês de outubro está mais para “Black October”, do que um outubro comum…

Na sexta-feira à noite, depois de vários dias acompanhando vulnerabilidades, patches emergenciais e notícias sobre ataques, resolvi começar a assistir à quarta temporada da série Lupin, na Netflix. A ideia era simplesmente relaxar e mudar de assunto por algumas horas.

Não funcionou.

Logo no primeiro episódio, uma das primeiras situações que movimentam a trama envolve justamente um ataque cibernético.

A coincidência chamou minha atenção. Depois de uma semana em que cibersegurança esteve repetidamente nas manchetes, ela aparecia também no entretenimento. A sinopse do episódio confirma que um misterioso ataque cibernético ameaça os planos de Assane após quatro anos na prisão. Pode parecer apenas um detalhe de roteiro. Mas talvez seja também um sinal de algo maior: a cibersegurança deixou definitivamente de ser um assunto restrito às equipes de TI e aos especialistas. Eu já venho repetindo isso nessa coluna faz tempo, mas talvez agora essa visão esteja se concretizando. Os acontecimentos desta semana ajudam a explicar por quê.

Duas vulnerabilidades e boa parte da Web em alerta

Em 21 de outubro, foram divulgadas duas vulnerabilidades críticas no núcleo do PHP: CVE-2026-109618 e CVE-2026-109619. Ambas receberam pontuação 9,2 no CVSS e podem, sob determinadas condições, permitir execução remota de código sem autenticação. As vulnerabilidades afetam versões do PHP desde a 5.4 até a 8.5.11; as correções foram disponibilizadas nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A dimensão do problema vem da presença do PHP na infraestrutura da Web. Estimativas citadas pelos pesquisadores apontam que a tecnologia está por trás de aproximadamente 70% dos websites, direta ou indiretamente, incluindo ecossistemas como WordPress, Drupal e Joomla. O problema ficou conhecido como PHP2Shell.

Mas talvez o aspecto mais interessante dessa história não seja apenas a existência de duas vulnerabilidades críticas. É como elas foram encontradas e transformadas em ataques viáveis. Os pesquisadores da Wiz, Calif e OpenAI utilizaram modelos de IA de fronteira durante o processo de descoberta, desenvolvimento de exploits e validação das correções. A Wiz relata ter utilizado diferentes modelos, incluindo Gemini 4 Argon e GPT-5.6 Sol. Segundo os pesquisadores, as falhas estavam relacionadas a decisões arquiteturais e código existente havia mais de uma década.

Em outras palavras:

a vulnerabilidade não nasceu com a inteligência artificial.

Ela já estava lá.

O que mudou foi nossa capacidade de encontrá-la e, principalmente, de transformar uma fraqueza extremamente complexa em um exploit funcional. Uma vulnerabilidade sem exploit tem um risco baixo, como falo para os meus alunos da disciplina de cibersegurança…

Quando “difícil demais para explorar” deixa de ser uma defesa

Esse talvez seja o ponto mais importante dessa história.

Durante décadas, parte da segurança prática dos sistemas computacionais dependeu implicitamente de barreiras econômicas e técnicas. Uma vulnerabilidade poderia existir, mas descobrir como explorá-la poderia exigir semanas ou meses de trabalho de pesquisadores altamente especializados. Isso não tornava o software seguro. Tornava alguns ataques caros demais.

A IA começa a modificar essa equação.

No caso do PHP, a Wiz relata que os modelos avançados permitiram desenvolver e adaptar exploits funcionais em questão de horas. Segundo os pesquisadores, um trabalho que poderia requerer meses de uma equipe altamente especializada passou a ser realizado em aproximadamente uma semana por um único pesquisador apoiado por IA. Isso altera profundamente a economia da vulnerabilidade. Se o custo de encontrar uma falha cai, encontramos mais falhas. Se o custo de desenvolver um exploit cai, mais vulnerabilidades tornam-se exploráveis.

E se agentes de IA puderem executar essas tarefas de maneira parcialmente autônoma e em grande escala, o intervalo entre descoberta, divulgação e exploração tende a diminuir ainda mais. Foi exatamente o que vimos nesta semana: poucas horas depois da divulgação das vulnerabilidades do PHP, os pesquisadores já observavam milhões de tentativas de exploração.

E o PHP não foi um caso isolado

Poucos dias antes, outra notícia apontava na mesma direção.

Pesquisadores utilizando Claude, da Anthropic, encontraram vulnerabilidades na biblioteca Pillow, amplamente utilizada para processamento de imagens no ecossistema Python. Uma delas estava presente no software desde 2013. A análise identificou problemas envolvendo processamento de EPS, TIFF e JPEG. No caso da vulnerabilidade antiga relacionada ao processamento de TIFF em memória, os pesquisadores conseguiram demonstrar a execução de código combinando-a com outra falha capaz de revelar endereços de memória. As correções chegaram com o Pillow 13.0.0.

Novamente, a pergunta interessante não é apenas:

“Como corrigimos essa vulnerabilidade?”

Talvez devamos fazer outra pergunta:

Quantas vulnerabilidades semelhantes estão silenciosamente presentes há dez, quinze ou vinte anos nas bibliotecas que sustentam nossa infraestrutura digital?

Durante muito tempo, nossa capacidade de responder a essa pergunta esteve limitada pela quantidade de especialistas disponíveis para revisar milhões de linhas de código. A IA começa a mudar essa restrição.

O tsunami de vulnerabilidades

O gráfico do CVE Tracker ajuda a visualizar o fenômeno.

Os registros de vulnerabilidades cresceram significativamente nos últimos anos e, em outubro de 2026, o sistema contabilizava 394.368 CVEs, com 12.688 somente no mês até 22 de outubro e uma projeção de aproximadamente 17.350 registros para o mês.

Figura 1 — Evolução dos registros de vulnerabilidades (CVEs). Fonte: CVE Tracker, dados do CVEProject/cvelistV5. Consulta em 25 de outubro de 2026.

É importante interpretar esse gráfico corretamente. O crescimento do número de CVEs não significa necessariamente que o software esteja simplesmente ficando “menos seguro”. Ele reflete maior capacidade de descoberta, melhores processos de reporte, expansão gigantesca da superfície de software e, agora, ferramentas automatizadas cada vez mais poderosas.

Mas exatamente aí está o problema. A nossa capacidade de descobrir vulnerabilidades pode estar começando a crescer mais rapidamente do que nossa capacidade organizacional de corrigi-las. Jason Clinton, executivo de segurança da Anthropic, chegou a alertar nesta semana para um possível “vulnerability tsunami”: uma quantidade de novas vulnerabilidades capaz de pressionar severamente a capacidade de resposta das organizações. Talvez estejamos começando a observar os primeiros sinais dessa onda.

A IA está ajudando o atacante ou o defensor?

A resposta desconfortável é os dois.

A mesma capacidade que permite que pesquisadores encontrem vulnerabilidades antes desconhecidas auxilia atacantes a compreender patches, construir exploits, adaptar payloads e procurar automaticamente sistemas vulneráveis. Mas isso não significa que a conclusão deva ser pessimista. Existe uma oportunidade para a defesa. Imagine aplicar continuamente agentes de IA aos códigos que sustentam sistemas operacionais, bibliotecas open source, aplicações corporativas e infraestruturas críticas. Em vez de esperar que um atacante encontre uma vulnerabilidade, podemos começar a perguntar: e se atacarmos nosso próprio software primeiro?

É uma mudança importante de perspectiva. A IA deixa de ser apenas uma ferramenta para detectar anomalias depois que o sistema está em operação e passa a participar do próprio ciclo de construção da segurança: revisão contínua de código, descoberta de vulnerabilidades, geração e validação de patches, testes adversariais e identificação automatizada de variantes. A corrida passa a ser entre duas automações: IA para atacar e IA para defender.

O verdadeiro problema talvez esteja no tempo

Historicamente, pensamos a gestão de vulnerabilidades como um ciclo relativamente previsível: descoberta → divulgação → priorização → patch → implantação. A IA pode comprimir dramaticamente esse ciclo. E as organizações que ainda precisam de semanas para descobrir onde determinada biblioteca está instalada, identificar quem é responsável pelo sistema, avaliar impacto, homologar uma atualização e finalmente colocá-la em produção estarão competindo contra atacantes capazes de automatizar grande parte do caminho inverso.

Nesse cenário, o inventário de ativos, a gestão de dependências, SBOM, a atualização contínua, a segmentação de redes, a gestão de privilégios, a observabilidade e a resposta a incidentes deixam de parecer tarefas administrativas pouco interessantes. Passam a ser vantagens estratégicas de sobrevivência digital.

É significativo que, diante dos acontecimentos desta semana, especialistas tenham voltado a recomendar justamente o básico: conhecer os ativos, reduzir exposição, segmentar sistemas críticos e corrigir rapidamente vulnerabilidades. A IA pode acelerar enormemente a cibersegurança. Mas ela não substitui seus fundamentos.

De volta à série Lupin

Talvez por isso a cena de Lupin tenha me chamado tanta atenção na última sexta-feira à noite. Depois de duas semanas particularmente intensas acompanhando notícias de cibersegurança, vulnerabilidades críticas no PHP, falhas antigas encontradas por IA e alertas sobre uma possível explosão no número de vulnerabilidades descobertas, encontrei novamente o mesmo tema quando simplesmente queria assistir a uma série. A ficção costuma refletir as preocupações de seu tempo. Em outros períodos, filmes e séries transformaram guerras, espionagem, terrorismo e ameaças nucleares em elementos recorrentes de suas histórias. Agora os ataques cibernéticos aparecem naturalmente no roteiro porque o público já compreende intuitivamente uma coisa: quando os sistemas digitais param, partes da sociedade param junto com eles.

Talvez seja essa a mensagem mais importante destas duas últimas semanas. A inteligência artificial não criou as vulnerabilidades que estamos descobrindo. Muitas estavam conosco havia anos. O que a IA está fazendo é acender a luz em lugares que permaneciam escuros. E quando acendemos essa luz, podemos descobrir que existem muito mais vulnerabilidades do que imaginávamos. A questão que definirá os próximos anos da cibersegurança talvez não seja quantas delas conseguiremos encontrar. A questão será: conseguiremos corrigi-las antes que alguém consiga explorá-las?

E, talvez, o mais importante: quem está por trás (e qual sua motivação) em acender essa luz?

——–

Esta matéria foi escrita por Michele Nogueira, Professora Titular do Departamento de Ciência da Computação da UFMG, Coordenadora do INCT IACiber e Head of Cyber Security na Kunumi.

Se você gostou desta matéria, talvez possa se interessar também por essas abaixo:

Como citar esta matéria:

NOGUEIRA, Michele. Tsunami de Vulnerabilidades: estamos preparados? SBC Horizontes, Outubro 2026. ISSN 2175-9235. Acesso em: DD mês. AAAA.

Compartilhe: