URGENTE: IA encontrou uma falha em 70% dos sites. Verifique o seu em 2 minutos

Autoria: Hyperautomation Labs · Assistir no YouTube

Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.

Idioma original: inglês

Vídeo original: URGENT: AI Found a Hole in 70% of Websites. Check Yours in 2 Minutes · Canal: Hyperautomation Labs · 03:43 · Assistir no YouTube

Tópicos: Agentes de IA, Cibersegurança e segurança de software, Claude Code, Ferramentas de desenvolvimento com IA

Resumo

Pesquisadores encontraram duas vulnerabilidades no PHP, tecnologia usada por cerca de 70% dos sites, que podem permitir a execução remota de código sem autenticação. As falhas receberam nota 9,2 de 10, e a equipe do PHP afirma que atualizar é a única opção segura. O vídeo explica como conferir a versão do PHP no WordPress ou no painel da hospedagem e quais versões corrigidas usar. Para servidores próprios, demonstra o Claude Code atualizando um site em Docker e mantendo o container antigo disponível para reversão.

Pontos-chave

As falhas estão no próprio PHP, portanto não dependem de um plugin específico nem da força da senha do site.
Um invasor poderia enviar uma solicitação e executar código no site sem fazer login.
As duas vulnerabilidades receberam nota 9,2 de 10 e estavam no PHP havia pelo menos uma década.
Segundo o vídeo, a Wiz usou Gemini e GPT durante a pesquisa, da descoberta dos bugs aos testes da correção.
No WordPress, a versão do PHP pode ser consultada em Ferramentas > Saúde do site > Informações > Servidor.
As versões corrigidas indicadas são PHP 8.5.12 ou superior, 8.4.27, 8.3.36 e 8.2.35; para 8.1 ou anterior, não há correção oficial.
Quem usa hospedagem compartilhada deve confirmar a versão no painel e contatar o suporte se ela não estiver corrigida.
A demonstração usa Claude Code para atualizar um servidor Docker de PHP 8.4.26 para 8.4.27, reconstruir a imagem e trocar o container.
Desativar mensagens de erro não protege contra as falhas, e scripts de verificação de origem duvidosa podem conter malware.

Capítulos

Início	Capítulo	Resumo
00:00	As vulnerabilidades no PHP	O vídeo apresenta as falhas, seu impacto potencial e o papel da IA na pesquisa que levou à correção.
01:35	Como verificar a versão do PHP	Mostra como encontrar a versão no WordPress e compara versões afetadas com as versões corrigidas.
02:42	Atualização de um servidor com Claude Code	Uma demonstração atualiza um site em Docker para PHP 8.4.27 e preserva a possibilidade de reversão.
03:13	Avisos e checklist de segurança	O vídeo reforça que só a atualização protege e alerta contra scripts de verificação falsos que podem conter malware.

Citações

A equipe do PHP diz que atualizar é a única opção segura. — 00:00

A IA está encontrando falhas antigas mais rápido do que nunca — tanto para os mocinhos quanto para os bandidos. — 01:03

Verifique se isso é afetado pelo PHP to shell e, se for, atualize com segurança. — 02:42

Desativar as mensagens de erro não protege você; só a atualização protege. — 03:13

Conceitos e entidades

PHP to shell (conceito): Nome usado no vídeo para as vulnerabilidades no PHP que podem permitir a execução de código no site.
PHP (conceito): Linguagem e tecnologia de servidor que, segundo o vídeo, está na base de muitos sites.
WordPress (ferramenta): Plataforma de sites usada no vídeo como exemplo para consultar a versão do PHP.
Wiz (empresa): Empresa de segurança citada como responsável por pesquisa que usou modelos de IA para investigar as falhas.
Gemini (modelo): Modelo do Google citado como utilizado durante a pesquisa de segurança.
GPT (modelo): Modelo da OpenAI citado como utilizado durante a pesquisa de segurança.
Cloudflare (empresa): Empresa citada por já estar observando ataques iniciais relacionados às vulnerabilidades.
Claude Code (ferramenta): Ferramenta usada na demonstração para verificar e atualizar a versão do PHP em um servidor Docker.
Docker (ferramenta): Tecnologia de contêineres usada na demonstração para reconstruir a imagem e substituir o container do site.

Tradução completa (pt-BR)

00:00 Modelos de IA acabaram de encontrar uma brecha no software por trás de cerca de 70% dos sites do mundo, e os ataques já começaram. Ela é chamada de PHP to shell, e a equipe do PHP diz que atualizar é a única opção segura. Ao final deste vídeo, você vai saber se seu site foi afetado e como corrigir isso em cerca de 2 minutos, mesmo que nunca tenha mexido em um servidor. Veja o que aconteceu, de forma simples. PHP é o motor que sustenta a maioria dos sites. WordPress funciona com ele, assim como

00:31 Drupal, Joomla e milhões de lojas online. Pesquisadores encontraram dois bugs no próprio motor, então não importa quais plugins você usa nem o quão forte é sua senha. Um estranho poderia enviar uma solicitação ao seu site e executar o próprio código nele sem fazer login. Os dois bugs receberam nota 9,2 de 10 e estão no PHP há pelo menos uma década. E é por isso que o assunto está repercutindo tanto. A empresa de segurança Wiz diz que usou modelos de IA de ponta, o Gemini, do Google, e o GPT, da Open AI, durante toda a pesquisa. Desde encontrar os bugs até testar a correção. Um

01:03 desses bugs foi identificado em uma auditoria de segurança em 2024, e ninguém o corrigiu. Desta vez, a IA ajudou os pesquisadores a provar que os bugs realmente poderiam tomar o controle de um site WordPress, e isso foi suficiente para forçar a publicação de uma correção. Essa é a nova realidade. A IA está encontrando brechas antigas mais rápido do que nunca, tanto para os mocinhos quanto para os bandidos. E por que isso é urgente hoje? Os detalhes vazaram online antes de a correção ser disponibilizada, então o PHP apressou o lançamento em um dia, e a Cloudflare diz que já está vendo os primeiros ataques. Se este vídeo for útil,

01:35 inscreva-se no canal, porque é de graça. E, se quiser apoiar o trabalho daqui, participe ou use o botão de apoiador no Facebook. Agora, vamos verificar seu site. Passo um: encontre sua versão do PHP. Se você usa WordPress, vá a Ferramentas, Saúde do site, Informações e, em seguida, Servidor. Você verá a versão ali. Neste site de teste, aparece 8.4.25, que não tem a correção. Agora, compare a sua com este guia. Se você usa a versão 8.5, precisa da 8.5.12 ou superior. A 8.4 precisa da .27, a 8.3 precisa da .36,

02:11 e a 8.2 precisa da .35. Se você usa a versão 8.1 ou anterior, não há nenhuma correção oficial. Então, este é o sinal de que está na hora de atualizar. Se você usa uma hospedagem compartilhada, a boa notícia é que a maioria dos provedores está aplicando a correção para você. A SiteGround, por exemplo, diz que se antecipou para proteger seus clientes. Mas não presuma que isso já foi feito. Abra o painel da sua hospedagem, encontre a página da versão do PHP e confirme se você está usando a versão mais recente oferecida. Se ela ainda não estiver na lista de versões corrigidas, envie um chamado ao suporte hoje mesmo. Coloquei o texto exato na lista de verificação gratuita.

02:42 Se você administra seu próprio servidor ou VPS, é aqui que um agent de IA mostra seu valor. Este é o site de uma pequena padaria rodando em Docker, e o cabeçalho do servidor indica PHP 8.4.26, sem a correção. Fiz um pedido ao Claude Code: verifique se isso é afetado pelo PHP to shell e, se for, atualize com segurança. Em cerca de 25 segundos, ele leu a configuração, confirmou que a versão 8.4.26 é anterior à versão corrigida, mudou a imagem para 8.4.27, recriou tudo e substituiu o contêiner. Ele até manteve o antigo parado, para que eu possa reverter a mudança.

03:13 A mesma verificação, de novo. PHP 8.4.27, corrigido, e o site continua carregando. Dois alertas rápidos. Desativar as mensagens de erro não protege você; só a atualização protege. E não baixe nenhum script de verificação de exploits que esteja circulando agora. Alguns são falsos e podem conter malware. Use o número da sua versão e fale com seu provedor de hospedagem. Preparei uma lista de verificação de 2 minutos com as versões exatas, o que fazer em hospedagem compartilhada, no WordPress ou no seu próprio servidor, além das configurações provisórias caso você não consiga atualizar hoje. Comente “patch” que eu envio para você.

03:43 Acompanhe no Instagram e no Facebook dicas rápidas de IA, e confira aqui no YouTube os guias aprofundados. Então, inscreva-se para não perder nenhum.

Transcrição original

[00:00] AI models just found a hole in the software behind about 70% of the world’s websites and attacks have already started. It’s called PHP to shell and the PHP team says updating is the only safe choice. By the end of this video, you’ll know if your site is affected and how to fix it in about 2 minutes even if you’ve never touched a server. Here’s what happened simply. PHP is the engine underneath most websites. WordPress runs on it, so do

[00:31] Drupal, Joomla and millions of online stores. Researchers found two bugs in that engine itself, so it doesn’t matter which plugins you use or how strong your password is. A stranger could send a request to your site and run their own code on it without logging in. Both bugs are rated 9.2 out of 10 and they’ve been sitting in PHP for at least a decade. And this is why it’s blowing up. Security firm Wiz says it used frontier AI models, Google’s Gemini and Open AI’s GPT throughout the research. From finding the bugs to testing the fix. One

[01:03] of these bugs was actually spotted in a security audit back in 2024 and nobody fixed it. This time AI helped researchers prove the bugs could really take over a WordPress site and that was enough to force a patch. That’s the new reality. AI is finding old holes faster than ever for the good guys and the bad guys. And why it’s urgent today? The details leaked online before the fix was out, so PHP rushed the release a day early and Cloudflare says it’s already seeing early attacks. If this video is useful,

[01:35] hit subscribe because it’s free. And if you want to back the work here, join or the supporter button on Facebook. Now, let’s check your site. Step one, find your PHP version. If you’re on WordPress, go to tools, site health, info, then server and you’ll see it right there. On this test site, it says 8.4.25, which is not patched. Now, compare yours to this guide. If you’re on 8.5, you need 8.5.12 or higher. 8.4 needs .27, 8.3 needs .36,

[02:11] and 8.2 needs .35. If you’re on 8.1 or older, there’s no official fix at all. So, this is your sign to move up. If you’re on shared hosting, the good news is most hosts are patching this for you. SiteGround, for example, says it moved early to protect its customers. But, don’t assume. Open your hosting panel, find the PHP version page, and make sure you’re on the newest version they offer. If it’s still not on the fixed list, send them a support ticket today. I put the exact wording in the free checklist.

[02:42] If you run your own server or VPS, this is where an AI agent earns its keep. Here’s a small bakery website running in Docker, and its server header says PHP 8.4.26, not patched. I gave Claude Code one request. Check if this is affected by PHP to shell, and if it is, update it safely. In about 25 seconds, it read the setup, confirmed 8.4.26 is older than the fix, switched the image to 8.4.27, rebuilt it, and swapped the container. It even kept the old one stopped, so I can roll back.

[03:13] Same check again. PHP 8.4.27, patched, and the site still loads. Two quick warnings. Turning off error messages does not protect you, only the update does. And don’t download any exploit checker scripts going around right now. Some of them are fake and may carry malware. Use your version number and your host. I made a 2-minute checklist with the exact versions, what to do on shared hosting, WordPress, or your own server, and the stopgap settings if you can’t update today. Comment patch and I’ll send it to you.

[03:43] Follow along on Instagram and Facebook for bite-size AI and the deep dive playbooks live here on YouTube. So, subscribe so you don’t miss one.