Falha grave de segurança no PHP tira sites do ar; correção demorou por falta de recursos
Destaques
- •Vulnerabilidades críticas no PHP, linguagem usada em 70% dos sites, levaram à retirada preventiva de sistemas do ar globalmente.
- •A demora na correção foi atribuída à falta de recursos e dificuldades na tomada de decisão da equipe de segurança da Fundação PHP.
- •Novas ferramentas de IA foram cruciais para a descoberta e exploração das falhas, acelerando a identificação de riscos.
Uma falha grave de segurança na linguagem de programação PHP levou governos e empresas de diversos países a retirarem seus sites do ar desde quarta-feira (21). A vulnerabilidade permite que criminosos assumam o controle de servidores sem a necessidade de login ou senha. No Brasil, a Anatel e tribunais suspenderam o acesso ao Sistema Eletrônico de Informações (SEI) por precaução, mas não há relatos de grandes impactos no país até o momento.
A Fundação PHP, responsável pela linguagem, confirmou que os primeiros sinais da falha foram identificados em 2024, mas a correção demorou devido à falta de recursos e dificuldades no processo de decisão da equipe de segurança. A entidade utiliza ferramentas de IA, como o Claude Mythos, para auxiliar na análise de códigos e identificação de problemas.
Por que a correção demorou?
A Fundação PHP informou que os primeiros indícios do problema surgiram durante uma auditoria de segurança realizada pela empresa francesa Quarkslab em 2024. No entanto, o trabalho de correção foi interrompido e retomado diversas vezes ao longo de meses.
A entidade atribuiu o atraso a três fatores principais: dificuldades na tomada de decisão pela equipe de segurança, a ausência inicial de uma forma conhecida de explorar a falha para execução remota de comandos, e a sobrecarga dos poucos desenvolvedores com conhecimento aprofundado do PHP.
A segurança do PHP, segundo a fundação, ainda depende de um pequeno grupo de desenvolvedores financiados por fundações e de contribuições voluntárias.
O papel da Inteligência Artificial na descoberta
Apesar do conhecimento prévio da Fundação PHP, as vulnerabilidades foram também identificadas de forma independente pela empresa de segurança Calif e pela OpenAI, dona do ChatGPT, em agosto deste ano. Posteriormente, a empresa de segurança na nuvem Wiz encontrou outras formas de explorar as falhas.
A Wiz destacou que essas descobertas estão entre as vulnerabilidades mais graves já encontradas no PHP e possivelmente na história do software. A empresa utilizou modelos de IA como o Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI, para identificar e explorar as falhas.
Segundo a Wiz, a IA foi fundamental para acelerar a descoberta e exploração de vulnerabilidades que, por mais de uma década, permaneceram sem resposta devido à complexidade.
O que é PHP e seu impacto
O PHP é uma das linguagens de programação mais populares para a criação de sites, sendo utilizada em plataformas como Facebook, Wikipedia e WordPress, além de sistemas educacionais como o Moodle e de e-commerce como o Magento. Rankings públicos indicam que o PHP é a linguagem usada em cerca de 70% dos sites.
Thiago Ayub, diretor de tecnologia da Sage Networks, alertou que sites que não forem atualizados rapidamente correm o risco de serem invadidos. Uma atualização para corrigir as falhas já está disponível.
