Falhas críticas no PHP expõem sites e redes de provedores no Brasil

Duas falhas de segurança críticas, denominadas PHP2Shell, na linguagem de programação PHP, uma das mais utilizadas na internet, forçaram governos, entidades e empresas em todo o mundo, incluindo o Brasil, a buscarem atualizações emergenciais em outubro. O objetivo era evitar que seus sites ficassem expostos a ataques. Muitos que não conseguiram realizar as atualizações ficaram temporariamente fora do ar, seguindo orientações de autoridades, como as da União Europeia. O número de ações maliciosas cresceu exponencialmente no período, e os riscos, embora menores que os de uma pane global, permanecem.

O PHP, conhecido por ser de código aberto e funcional por décadas, é a base de cerca de 70% dos sites disponíveis na internet. Embora considerado menos seguro que linguagens mais recentes como Python, Rust e Swift, era tido como satisfatório em segurança. No entanto, duas vulnerabilidades descobertas em 2024 não foram inicialmente corrigidas por serem consideradas não exploráveis. Avanços tecnológicos, como o uso de inteligência artificial em agosto último, permitiram a reclassificação dessas falhas como críticas, exploráveis sem a necessidade de senhas ou credenciais, e sem interação da vítima.

O impacto em sites e sistemas governamentais

A reclassificação das falhas como críticas levou a PHP Foundation, criadora do código, a liberar atualizações (patches) para governos, instituições e grandes grupos econômicos. Posteriormente, um comunicado público direcionou a correção para demais usuários da linguagem. No entanto, no período entre essas ações, o número de ataques maliciosos disparou, possivelmente devido a vazamentos de informação ou à visibilidade dos códigos durante o processo de correção. Sites de órgãos governamentais brasileiros que utilizam o sistema SEI, baseado em PHP, como o da Anatel, ficaram fora do ar entre 22 e 27 de outubro para a aplicação das atualizações.

Vulnerabilidades em provedores de internet

O uso do PHP vai além de páginas web, estando presente em dispositivos essenciais para conexões de internet, como roteadores, servidores DNS, Switch, OLT e Firewalls, utilizados por provedores de Internet (ISPs). Provedores regionais, que fornecem 56% das conexões fixas no país, segundo a Anatel, frequentemente não dispõem de equipes de segurança de dados dedicadas. A falta de atualização desses sistemas pode conceder acesso permanente a hackers, permitindo golpes como o redirecionamento para páginas falsas de bancos.

A exposição de cadastros de clientes em caso de vazamento de dados pode acarretar sanções previstas pela LGPD (Lei Geral de Proteção de Dados). A origem de ataques decorrentes da falta de atualização do PHP é difícil de comprovar, mas os provedores devem zelar pela segurança de seus negócios e minimizar riscos para si e para seus clientes.

Recomendações e próximos passos para segurança

Para mitigar esses riscos, provedores são orientados a desabilitar a interface web de todos os dispositivos que utilizam PHP e buscar as atualizações disponibilizadas pelos fabricantes. O acesso aos equipamentos pode ser mantido por interfaces como SSH e Telnet. A interface web do cliente, que não pode ser desligada, representa um risco adicional, mas pode ser minimizado com sistemas de atualização automática de rede habilitados.

A aplicação dos softwares de correção disponibilizados pelos fabricantes de roteadores e ONUs nos equipamentos instalados nas dependências dos consumidores é essencial. Tomar as providências necessárias para minimizar o risco de ataques, especialmente em um cenário de intensificação dessas ocorrências, é um diferencial importante para os negócios dos provedores.