Black October: a IA virou arma dos hackers. Sua empresa está pronta?

Nos últimos dias, uma expressão tomou conta das redes de quem trabalha com tecnologia: “Black October”, ou Outubro Negro. O nome surgiu em um post que viralizou no X em 22 de outubro, chamando as 48 horas anteriores de “as piores da história da cibersegurança”. É exagero de rede social? Em parte, sim. Mas por trás do apelido há fatos confirmados que mudam o jogo para qualquer empresa com site, loja virtual ou sistema na internet: a inteligência artificial passou a ser usada, em grande escala, tanto para achar falhas quanto para invadir empresas.

Neste artigo separamos o que é fato do que é barulho, explicamos os dois casos que mais chamaram atenção nos Estados Unidos e mostramos o que uma empresa brasileira precisa fazer agora.

O que é o “Black October”

“Black October” não é um nome oficial, nem um ataque único e coordenado. É um apelido para uma sequência de incidentes e alertas de segurança divulgados quase ao mesmo tempo, na semana de 19 a 22 de outubro de 2026. Como lembraram vários analistas, o pico foi principalmente de divulgações: muitos desses ataques já vinham acontecendo havia semanas ou meses e só agora vieram a público.

Dois episódios, porém, explicam por que o assunto explodiu e por que a IA está no centro da conversa:

Caso 1: PHP2Shell, as falhas achadas com inteligência artificial

Em 21 de outubro, o projeto PHP lançou uma atualização de segurança de emergência para corrigir duas falhas críticas, a CVE-2026-109618 e a CVE-2026-109619, que ganharam o apelido de PHP2Shell. Ambas receberam nota 9,2 de 10 na escala de gravidade. Em certas configurações, elas permitem que um atacante, sem login nenhum, execute comandos no servidor só enviando uma requisição ao site.

O detalhe que fez o caso viralizar: entre os pesquisadores creditados pela descoberta estão a OpenAI, a Wiz e a Calif, e as empresas de pesquisa disseram ter usado modelos de IA no trabalho. Ou seja, a IA ajudou a achar, em uma das tecnologias mais usadas da internet, um problema que passou despercebido por anos.

O que se sabe até agora, segundo o próprio PHP, a agência americana de cibersegurança (CISA) e empresas de segurança:

• Versões corrigidas: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
• Versões antigas: do PHP 7.4 ao 8.1 não há versão oficial corrigida, apenas ajustes no código-fonte para quem compila o PHP. Versões ainda mais antigas não recebem correção.
• Ataques: a Amazon informou ter visto tentativas de exploração em 17 de outubro, quatro dias antes da divulgação, e novas tentativas a partir do dia 21. A Cloudflare e outras empresas de segurança também relataram tentativas.
• Recomendação da CISA: atualizar imediatamente. Para quem não consegue atualizar ou usa PHP 8.1 ou mais antigo, a orientação é tirar do ar os sistemas em PHP até corrigir.

Foi por isso que vários sites e serviços, nos EUA e em outros países, chegaram a sair do ar temporariamente para receber a correção.

Caso 2: o hacker que montou um “exército” de agentes de IA

O segundo episódio é ainda mais simbólico. A empresa de segurança NorForge encontrou, na internet, painéis de controle abertos do Cairn, uma plataforma de IA de código aberto que coordena vários agentes de inteligência artificial para cumprir um objetivo. O próprio autor da ferramenta disse que ela não foi criada para ataques. Mesmo assim, criminosos passaram a usá-la para automatizar invasões.

Segundo reportagem da Reuters de 19 de outubro, repercutida por diversos veículos especializados:

• Um único hacker de língua chinesa usou os agentes do Cairn contra mais de 1.200 sites a partir de 25 de setembro, principalmente lojas online nos EUA, Canadá, Japão e Austrália.
• Mais de 100 empresas foram invadidas. Entre os alvos citados estão a fabricante de máquinas agrícolas John Deere e a de eletrodomésticos SharkNinja. A Deere disse ter corrigido o problema sem sinais de acesso a dados sensíveis; a SharkNinja afirmou que o ataque atingiu um site de suporte e foi contido.
• O pesquisador da NorForge estimou o custo em cerca de US$ 50 em uso de IA por invasão bem-sucedida.

É aqui que mora a mudança. Antes, invadir uma empresa exigia tempo e mão de obra especializada. Agora, uma pessoa sozinha consegue testar centenas de sites em paralelo, deixando os agentes de IA procurarem a porta aberta. Pequenas e médias empresas, que antes “não valiam o esforço”, passam a entrar na lista, porque o esforço ficou quase zero.

E a sua empresa com isso?

Os casos aconteceram lá fora, mas o risco é o mesmo aqui. O PHP roda a maioria dos sites em WordPress, muitas lojas virtuais e vários sistemas de gestão usados por empresas brasileiras. E os agentes de IA não escolhem país: eles varrem a internet atrás de qualquer site vulnerável.

O que muda na prática:

• A janela para atualizar encolheu. Quando uma falha grave é divulgada, os ataques começam em horas. Deixar a atualização “para o fim do mês” virou um risco real.
• Site pequeno também é alvo. Com o ataque automatizado, o critério deixa de ser “quem vale a pena” e passa a ser “quem está vulnerável”.
• Sistemas esquecidos são o ponto fraco. Aquele site antigo, a loja que ninguém mais mexe ou o painel de teste que ficou no ar são exatamente o que esses robôs encontram primeiro.

Checklist: o que fazer agora

1. Descubra a versão do PHP do seu site, loja e sistemas. Se você usa hospedagem, pergunte ao provedor se as versões 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou posteriores) já foram aplicadas.
2. Saia das versões antigas. PHP 8.1 ou anterior não tem mais correção oficial. Planeje a migração com urgência.
3. Faça um inventário de tudo que a empresa tem exposto na internet, inclusive sites antigos e subdomínios esquecidos. O que não é usado deve sair do ar.
4. Atualize WordPress, plugins e temas e remova os que não usa.
5. Coloque um firewall de aplicação (WAF) na frente do site. Ele não substitui a atualização, mas ajuda a barrar ataques automatizados.
6. Troque senhas e chaves guardadas no servidor se houver qualquer suspeita de invasão.
7. Tenha backup fora do servidor e teste a restauração.
8. Monitore: arquivos novos estranhos no site, contas de administrador desconhecidas e picos de acesso são sinais de alerta.

Como a Nexum pode ajudar

A Nexum verifica a versão do PHP e dos sistemas do seu site e servidor, aplica as correções, mapeia o que está exposto na internet e configura firewall e backup fora do servidor. Com o Nexum Defense, seus computadores e servidores ficam monitorados de forma contínua, com atualizações em dia e alerta quando algo foge do normal. Num cenário em que o ataque é automatizado, a defesa também precisa ser constante.

Resumo

• “Black October” é um apelido viral, não oficial, para uma onda de incidentes divulgados entre 19 e 22 de outubro de 2026.
• As falhas PHP2Shell, achadas com ajuda de IA, permitem invadir servidores PHP sem senha. A correção saiu em 21/10.
• Um único hacker usou agentes de IA para invadir mais de 100 empresas, a um custo estimado de US$ 50 por invasão.
• A lição: ataques mais rápidos e baratos. Atualizar rápido, conhecer o que está exposto e monitorar deixou de ser opcional.