Nos últimos dois meses, lideramos uma coalizão de mantenedores, pesquisadores e provedores de segurança para resolver vulnerabilidades críticas no PHP, uma linguagem de programação de código aberto usada para executar sites e aplicações web. A Calif identificou uma falha crítica usando o GPT‑5.6 Sol como parte da nossa iniciativa Patch the Planet(abre em uma nova janela). A Wiz também descobriu e reportou as duas vulnerabilidades de forma independente. Os mantenedores do PHP lideraram as correções e seu lançamento, com nossas equipes e parceiros como Wiz, Cloudflare e outros contribuindo com pesquisa, suporte técnico e coordenação para preparar proteções antes da divulgação.
Para as organizações que usam PHP, a prioridade agora é aplicar as correções. Estamos compartilhando um verificador de versão do PHP como uma skill do Codex(abre em uma nova janela) para ajudar operadores a identificar versões potencialmente vulneráveis do PHP e, com as orientações do PHP e de seus provedores, determinar quais atualizações se aplicam.
Dada a gravidade dessas falhas e o amplo uso do PHP, consideramos este um dos problemas de segurança de maior impacto dos últimos tempos. Isso mostra como a IA pode descobrir falhas de segurança com impacto em toda a internet, mas as mesmas capacidades também podem ajudar invasores a desenvolver rapidamente ferramentas ofensivas e exploits.
Até onde sabemos, a IA de ponta encontrou essas vulnerabilidades antes dos invasores, abrindo uma janela de oportunidade para defensores, na qual mantenedores e provedores de segurança puderam preparar correções e proteções antes da divulgação.
Para ajudar mais defensores a usar essas capacidades, comprometemos US$ 1 bilhão em acesso subsidiado ao Daybreak por meio do Daybreak para Defensores da Linha de Frente, voltado a organizações que protegem serviços essenciais com recursos limitados de segurança.
Apesar de sua gravidade, essas falhas estão entre várias vulnerabilidades importantes que já encontramos e estamos trabalhando para corrigir. Esperamos que descobertas semelhantes aumentem muito nos próximos meses. Com base na experiência que acumulamos, estamos compartilhando uma proposta de abordagem, adequada à era da IA, para responder a vulnerabilidades críticas em softwares amplamente usados. Convidamos a comunidade de segurança a ajudar a aprimorar esse modelo de resposta. Ele reúne nossos modelos, conhecimento especializado em segurança e mantenedores para ajudar a transformar descobertas em proteção e construir uma resposta capaz de ganhar escala à medida que as capacidades da IA avançam.
Colocar uma correção em uso pode exigir adaptá-la para versões antigas, preparar medidas de mitigação com provedores e atualizar sistemas em diversas organizações. Um processo replicável ajuda essas equipes a agir rapidamente à medida que mais vulnerabilidades são descobertas.
Por meio do Patch the Planet, contribuímos com conhecimento especializado em segurança e acesso a modelos para apoiar a resposta do PHP, e trabalhamos com mantenedores e parceiros de pesquisa para testar correções e preparar orientações. Também ajudamos a coordenar proteções para os sistemas afetados com provedores de infraestrutura e envolvemos agências governamentais de cibersegurança para que as orientações chegassem a organizações críticas. Isso apoiou a resposta liderada pelos mantenedores e ajudou outros defensores a se preparar.
Em algumas descobertas, os pesquisadores podem trabalhar diretamente com os mantenedores do software para investigar o problema e desenvolver uma correção. Outras exigem uma resposta mais ampla, pois afetam muitos produtos ou porque distribuidores e provedores de serviços precisam de tempo para preparar atualizações e proteções — tempo que pode ser escasso se as capacidades de fronteira não estiverem muito à frente das amplamente disponíveis. Nesses casos, o modelo de resposta proposto pode ajudar os mantenedores a identificar quem precisa ser envolvido e a coordenar o trabalho. A resposta pode envolver cinco etapas:
Validar e corrigir a vulnerabilidade no projeto de origem. O mantenedor, os pesquisadores e os parceiros técnicos essenciais confirmam a descoberta, avaliam seu impacto e desenvolvem e testam uma correção. Esse processo inclui testes adversariais com modelos de fronteira para buscar formas de contornar a correção e variantes relacionadas à vulnerabilidade.
Dar tempo para as organizações afetadas agirem. Propomos critérios para avaliar quais organizações precisam de informações antecipadas para preparar proteções, enquanto os mantenedores decidem quem envolver. Ajudamos nos contatos, nos acordos de compartilhamento de informações e na coordenação entre equipes. Um distribuidor pode adaptar uma correção para uma versão antiga, um provedor de hospedagem pode testar uma mitigação e um provedor de segurança pode preparar medidas de detecção ou prevenção, incluindo regras de firewall de aplicações web (WAF).
Coordenar ações com parceiros governamentais para ajudar a proteger sistemas críticos. As agências governamentais têm um papel essencial na coordenação de uma resposta mais ampla e em fazer as orientações de segurança chegarem às organizações responsáveis por infraestrutura crítica e outros serviços essenciais. No caso do PHP, trabalhamos com nossos parceiros para envolver diversas áreas do governo dos EUA, incluindo a Força de Superinteligência da Casa Branca, o Escritório do Diretor Nacional de Cibersegurança (ONCD) e a Agência de Segurança Cibernética e de Infraestrutura (CISA), além de parceiros internacionais, para apoiar esse esforço.
Preparar atualizações para os produtos afetados. À medida que a correção, as orientações e os planos de divulgação se consolidam, os mantenedores podem envolver mais distribuidores, provedores de hospedagem e serviços, equipes de resposta e operadores para preparar atualizações e sanar lacunas de cobertura.
Assim que uma correção estiver disponível, publicar orientações e apoiar sua implantação. As orientações públicas ajudam as pessoas a avaliar sua exposição, encontrar atualizações oficiais ou mitigações provisórias e verificar se uma correção está em execução. A resposta continua enquanto os operadores implantam atualizações e informam onde precisam de ajuda.
O modelo de resposta proposto considera o papel de proteção de cada organização, incluindo seus próprios sistemas e clientes, o tempo necessário para agir e sua capacidade de lidar com informações sensíveis. Os mesmos critérios se aplicariam a organizações comparáveis, cabendo aos mantenedores decidir quem envolver antes da divulgação.
Cada participante recebe as informações necessárias para realizar seu trabalho de proteção, desde logs de rede com indicadores de comprometimento até exploits funcionais de prova de conceito, que são mais sensíveis. Mesmo poucos detalhes podem revelar uma vulnerabilidade, por isso ponderamos o risco de compartilhá-los em relação à proteção que permitem oferecer.
As equipes que seguissem esse modelo trabalhariam com os mantenedores para dar aos defensores tempo de se preparar e reavaliar o cronograma em caso de exploração ativa em sistemas reais, vazamento, correção pública que revele a falha ou aumento do risco aos usuários por paralisação da remediação.
O site do Patch the Planet(abre em uma nova janela) reúne divulgações públicas e orientações para ajudar operadores a identificar sistemas afetados, encontrar a atualização certa e verificar se o software atualizado está funcionando corretamente. Para o PHP, ele indica a correção oficial e as instruções de atualização dos mantenedores, além das pesquisas técnicas dos nossos parceiros. As orientações também abrangem mitigações provisórias, quando envolver um provedor ou especialista, além de backup e recuperação. Proteções provisórias podem reduzir o risco, mas deixaremos claros seus limites e as concessões operacionais envolvidas.
Os operadores podem usar as orientações da CISA sobre priorização e remediação(abre em uma nova janela) para avaliar a urgência das ações com base na exposição, na exploração e no impacto potencial. Isso pode significar aplicar correções emergenciais, adotar mitigações imediatas ou planejar uma atualização, junto com uma triagem forense, quando cabível, para avaliar se os sistemas já foram comprometidos. As prioridades devem ser reavaliadas conforme as condições mudam, com um caminho claro para uma remediação duradoura.
A coordenação global depende das pessoas que mantêm o software. Muitos projetos são conduzidos por equipes pequenas que analisam relatos de segurança em paralelo às atividades rotineiras de desenvolvimento. Essas equipes precisam de ajuda para distinguir problemas novos de duplicados, avaliar o impacto e testar correções nas versões com suporte. Apoiamos esse trabalho com financiamento, acesso a modelos capazes e ajuda prática de engenharia.
Capacidades poderosas de IA estão avançando em todo o setor, e esperamos que a IA tenha um papel cada vez maior em ajudar defensores a encontrar vulnerabilidades, monitorar sistemas e responder a ameaças. Estamos investindo em modelos, ferramentas e parcerias para ajudar defensores a colocar essas capacidades em prática.
Nossos investimentos incluem assinaturas para todos os mantenedores por meio do Codex para OSS e patrocínio direto a projetos como a Rust Foundation(abre em uma nova janela), para apoiar mantenedores e o trabalho técnico. Cada projeto define suas próprias prioridades. Testes e fluxos de trabalho de segurança reutilizáveis podem reduzir o esforço necessário para lidar com descobertas futuras. Projetos de código aberto podem se inscrever no Patch the Planet(abre em uma nova janela) para receber apoio prático.
Também estamos calibrando classificadores de bloqueio adicionais para o Daybreak, a fim de reduzir o potencial de uso indevido. Isso envolve escolhas difíceis: salvaguardas destinadas a prevenir abusos também podem bloquear trabalhos legítimos de segurança. Tanto o amplo acesso a modelos capazes quanto as proteções eficazes contra o uso indevido são essenciais. Nosso objetivo é preservar as capacidades de que os defensores precisam para encontrar e corrigir vulnerabilidades, limitando ao mesmo tempo o uso prejudicial. Continuaremos ajustando esse equilíbrio à medida que as capacidades avançam e aprendemos com o uso dessas ferramentas.
À medida que os modelos se tornam mais capazes, as oportunidades vão além de encontrar e corrigir vulnerabilidades individuais. Queremos ajudar engenheiros a criar softwares mais seguros desde o início. Melhorias em um componente amplamente usado podem prevenir falhas ou limitar seu impacto em muitos produtos e serviços.
A IA pode ajudar engenheiros a entender o código existente, preparar alterações e desenvolver testes, enquanto mantenedores e especialistas em segurança verificam se essas mudanças preservam o comportamento do qual os usuários dependem. Vemos oportunidades em várias áreas:
Código seguro desde o início. Modelos de programação podem ajudar desenvolvedores a escolher configurações padrão mais seguras, usar bibliotecas de segurança corretamente e detectar padrões arriscados enquanto escrevem código. Prevenir vulnerabilidades durante o desenvolvimento significa menos correções emergenciais para mantenedores e usuários.
Software com segurança de memória. Migrar componentes críticos para linguagens com segurança de memória pode eliminar classes comuns de erros de memória. A IA pode ajudar nas migrações, com testes e revisão especializada para verificar o comportamento e a compatibilidade.
Verificação formal. Provas matemáticas podem demonstrar que componentes críticos satisfazem propriedades de segurança especificadas sob determinadas premissas. Aplicar esses métodos a componentes amplamente usados poderia ajudar a eliminar classes de vulnerabilidades nos serviços e na infraestrutura crítica que dependem deles.
Isolamento mais robusto. Os sistemas precisam de proteção contra vulnerabilidades que ainda não foram encontradas ou corrigidas. Executar softwares que processam arquivos, imagens ou mídias não confiáveis em sandboxes com restrições rigorosas pode limitar os danos caso sejam comprometidos. A IA pode ajudar engenheiros a testar e fortalecer tecnologias de sandboxing amplamente usadas, melhorando a proteção em muitas aplicações.
Estamos compartilhando nossa abordagem para que mantenedores, pesquisadores, equipes de resposta, provedores e operadores possam ajudar a torná-la viável na prática. Queremos entender onde ela ajudaria, onde poderia gerar atrasos ou sobrecarga e o que deixamos de considerar. Exemplos de divulgações anteriores seriam especialmente úteis.
Temos interesse especial em:
Prazos de divulgação. De quanto tempo mantenedores, operadores e defensores precisam para preparar e implantar correções confiáveis? Quais evidências devem motivar uma divulgação antecipada, especialmente quando alguns usuários podem ser protegidos antes de outros?
Aplicação de correções emergenciais. Em que situações, se houver alguma, governos ou outros operadores deveriam usar uma vulnerabilidade para corrigir sistemas que possuem ou estão autorizados a gerenciar após perder o acesso administrativo? Quais salvaguardas deveriam ser aplicadas? Podemos imaginar um cenário futuro de varredura contínua em toda a internet em busca de vulnerabilidades conhecidas, com notificação aos proprietários dos sites quando uma for detectada ou aplicação de uma correção no sistema.
Aviso antecipado. Quem precisa de aviso antecipado para tomar uma medida útil de proteção, incluindo defensores que talvez não tenhamos considerado? Quando as notificações em etapas funcionam melhor do que notificar um grupo maior de uma só vez, e como devemos ponderar a cobertura em relação ao risco de vazamento?
Pacotes de software seguros por padrão. Como podemos ajudar a identificar e corrigir vulnerabilidades em pacotes derivados enquanto as correções nos projetos de origem estão pendentes, ou adaptar correções para versões antigas que já não recebem atualizações de segurança? Quais testes e práticas de manutenção tornariam esses pacotes opções confiáveis quando não for viável atualizar a tempo?
Também aceitamos indicações de especialistas independentes em segurança que possam revisar a abordagem, questionar suas premissas e identificar lacunas. Sua contribuição nos ajudará a aprimorar a resposta e definir prioridades de apoio. Compartilhe sua opinião aqui(abre em uma nova janela).
