Brecha no PHP que tirou sites do ar foi descoberta há dois anos

Falhas no PHP identificadas em 2024 levaram à retirada preventiva de sites do ar. A Fundação PHP atribuiu o atraso à falta de recursos

A Fundação PHP confirmou que os primeiros indícios das falhas de segurança que provocaram a retirada preventiva de sites do ar em diversos países apareceram em 2024. O processo de correção sofreu várias interrupções e retomadas, devido à escassez de recursos e a dificuldades nas decisões da equipe responsável pela segurança.

As vulnerabilidades podem permitir que criminosos cibernéticos obtenham controle de servidores sem precisar informar usuário ou senha. Uma atualização para corrigir os problemas já foi disponibilizada, enquanto empresas e órgãos governamentais implementaram ações preventivas para diminuir a possibilidade de ataques.

Por que a correção demorou?
A falha foi descoberta em uma auditoria independente conduzida em 2024 pela Quarkslab, companhia francesa especializada em cibersegurança. De acordo com a Fundação PHP, o processo de correção das vulnerabilidades durou meses e foi prejudicado por três fatores:

• Falta de um método conhecido de exploração: na época, não era conhecida uma forma de usar a falha para executar comandos remotamente.
  
• Dificuldades nas decisões: a equipe de segurança enfrentou entraves para definir como avançar com a correção.
  
• Sobrecarga de especialistas: poucos desenvolvedores tinham conhecimento aprofundado do funcionamento interno do PHP.

A Fundação também admitiu que a proteção da linguagem depende de uma equipe pequena de desenvolvedores, sustentada financeiramente por fundações e pelo trabalho de colaboradores voluntários.

A escassez de recursos gera preocupação devido à ampla utilização do PHP na internet. A linguagem está presente em serviços como Facebook, Wikipedia e WordPress, além de plataformas educacionais, como o Moodle, e de comércio eletrônico, como o Magento.

Como a inteligência artificial entrou no caso
A Fundação PHP recorre a ferramentas de inteligência artificial, como o Claude Mythos, para examinar códigos e analisar notificações de vulnerabilidades. De acordo com a entidade, essas tecnologias aceleram a identificação de problemas, mas ainda não conseguem definir a melhor abordagem para desenvolver uma correção.

A apuração também contou com contribuições externas. A empresa de cibersegurança Calif e a OpenAI, criadora do ChatGPT, descobriram as falhas separadamente e as comunicaram em agosto deste ano. Mais tarde, a Wiz, especializada em segurança na nuvem, identificou métodos adicionais para explorar as vulnerabilidades.

Na quarta-feira (21), a Wiz descreveu o episódio como um dos casos mais graves já identificados no PHP. “Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software”, declarou a empresa.

A companhia acrescentou: “Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas [sem o uso da IA]”.

Para analisar os problemas, a Wiz afirmou ter utilizado os modelos Gemini 4 Argon, desenvolvido pelo Google, e GPT-5.6 Sol, da OpenAI.

Sites foram retirados do ar por precaução
Desde quarta-feira (21), governos e empresas de vários países bloquearam temporariamente o acesso a sites como medida preventiva contra possíveis invasões. No Brasil, a Agência Nacional de Telecomunicações (Anatel) e tribunais suspenderam o funcionamento do Sistema Eletrônico de Informações (SEI), plataforma utilizada para administrar processos internos. Até agora, não foram registrados grandes impactos no território nacional.

A ampla presença da linguagem na internet contribui para a preocupação com o problema. Thiago Ayub, diretor de tecnologia da Sage Networks e especialista em telecomunicações, destaca que levantamentos públicos ainda indicam o PHP como a tecnologia utilizada em aproximadamente 70% dos sites.

Com a disponibilização da atualização de segurança, instalar a correção nos sistemas vulneráveis é a principal medida para diminuir o risco de ataques.

Fonte: Olhar Digital