Falhas críticas em PHP: Governos e empresas retiram sites do ar

Duas falhas críticas de cibersegurança foram descobertas na linguagem de programação PHP, que sustenta grande parte da internet. A descoberta, auxiliada por inteligência artificial (IA), levou governos e organizações internacionais a emitirem alertas e recomendarem correções urgentes. Uma solução para as vulnerabilidades foi publicada na tarde de quarta-feira (21/10), mas a necessidade de aplicação imediata fez com que diversas entidades, como o governo finlandês, a prefeitura de Edimburgo e plataformas da BBC, retirassem temporariamente páginas do ar para evitar explorações.

Descoberta e Gravidade das Falhas

As vulnerabilidades foram detectadas por pesquisadores das empresas de cibersegurança Wiz e Calif, utilizando IA de ponta, incluindo modelos da OpenAI e do Google. A Wiz classificou as falhas como "as vulnerabilidades mais graves já descobertas" por essa tecnologia, com potencial para permitir a execução remota de código em servidores sem autenticação. Estima-se que cerca de 70% da internet, que utiliza PHP, possa ter sido afetada. As falhas, que passaram despercebidas por mais de uma década, receberam nota 9,2 de 10 em gravidade (CVE-2026-109618 e CVE-2026-109619).

Impacto e Ações Preventivas

O PHP é uma linguagem de código aberto fundamental para o desenvolvimento web, presente em plataformas como WordPress, Drupal e Joomla, que juntas sustentam uma parcela significativa dos sites globais. A Agência de Segurança Nacional dos Estados Unidos (NSA) e o Centro Nacional de Cibersegurança do Reino Unido (NCSC), entre outros órgãos, recomendaram que as organizações apliquem as correções imediatamente. Caso a atualização não seja viável a tempo, a orientação é suspender ou desconectar os sistemas vulneráveis da internet.

A Fundação Wikimedia, que gerencia a Wikipedia, desativou outros sistemas como medida de precaução. A prefeitura de Edimburgo e programas da BBC também ficaram inacessíveis. No Brasil, o Sistema Eletrônico de Informações (SEI) da Anatel foi retirado do ar temporariamente.

Correções e Próximos Passos

Os desenvolvedores do PHP liberaram quatro pacotes de emergência para corrigir as vulnerabilidades: PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35. A PHP Foundation recomenda fortemente que todos os usuários atualizem seus sistemas imediatamente. A empresa de cibersegurança Cloudflare relatou estar observando o surgimento de ataques iniciais e atualizando suas medidas de mitigação. Especialistas alertam que as mesmas ferramentas de IA que ajudaram a descobrir as falhas podem ser usadas por cibercriminosos para acelerar o desenvolvimento de ataques contra sistemas ainda não atualizados.