Falhas críticas no PHP forçam atualizações emergenciais no Brasil e no mundo

Duas falhas de segurança críticas, denominadas PHP2Shell, na linguagem de programação PHP, uma das mais utilizadas na internet, forçaram governos, entidades e empresas em todo o mundo, incluindo o Brasil, a buscarem atualizações emergenciais em outubro. O objetivo era evitar que seus sites ficassem expostos a ataques. Muitos que não conseguiram realizar as atualizações ficaram temporariamente fora do ar, seguindo orientações de autoridades. O número de ações maliciosas cresceu exponencialmente no período, e os riscos, embora menores que os de uma pane global, permanecem.

O PHP, conhecido por ser de código aberto e funcional por décadas, é a base de cerca de 70% dos sites disponíveis na internet. Embora considerado menos seguro que linguagens mais recentes, duas vulnerabilidades descobertas em 2024 não foram inicialmente corrigidas por serem consideradas não exploráveis. Avanços tecnológicos, como o uso de inteligência artificial em agosto último, permitiram a reclassificação dessas falhas como críticas, exploráveis sem a necessidade de senhas ou credenciais, e sem interação da vítima.

Impacto em sites e sistemas governamentais

A reclassificação das falhas como críticas levou a PHP Foundation, criadora do código, a liberar atualizações (patches) para governos, instituições e grandes grupos econômicos. Posteriormente, um comunicado público direcionou a correção para demais usuários da linguagem. No entanto, no período entre essas ações, o número de ataques maliciosos disparou. Sites de órgãos governamentais brasileiros que utilizam o sistema SEI, baseado em PHP, como o da Anatel, ficaram fora do ar entre 22 e 27 de outubro para a aplicação das atualizações.

A gravidade da vulnerabilidade reside no fato de que ela não se limita a derrubar uma aplicação web, mas abre uma porta de acesso direto ao servidor. A partir desse ponto de entrada, um atacante pode alcançar qualquer outro sistema da mesma rede interna, inclusive aqueles que sequer o utilizam. Acreditar que a simples atualização da versão resolve o problema de forma isolada esbarra em obstáculos técnicos estruturais, como a incompatibilidade e quebra de sistemas legados e a permanência de backdoors já instalados.

Vulnerabilidades em provedores de internet e riscos para clientes

O uso do PHP vai além de páginas web, estando presente em dispositivos essenciais para conexões de internet, como roteadores, servidores DNS, Switch, OLT e Firewalls, utilizados por provedores de Internet (ISPs). Provedores regionais, que fornecem 56% das conexões fixas no país, segundo a Anatel, frequentemente não dispõem de equipes de segurança de dados dedicadas. A falta de atualização desses sistemas pode conceder acesso permanente a hackers, permitindo golpes como o redirecionamento para páginas falsas de bancos.

A exposição de cadastros de clientes em caso de vazamento de dados pode acarretar sanções previstas pela LGPD (Lei Geral de Proteção de Dados). A origem de ataques decorrentes da falta de atualização do PHP é difícil de comprovar, mas os provedores devem zelar pela segurança de seus negócios e minimizar riscos para si e para seus clientes. Produtos que funcionam com IA, e que promovem a análise automática, identificam os problemas e estimam o tempo e o esforço para corrigir, tendem a ganhar espaço.

Recomendações e próximos passos para segurança

Para mitigar esses riscos, provedores são orientados a desabilitar a interface web de todos os dispositivos que utilizam PHP e buscar as atualizações disponibilizadas pelos fabricantes. O acesso aos equipamentos pode ser mantido por interfaces como SSH e Telnet. A interface web do cliente, que não pode ser desligada, representa um risco adicional, mas pode ser minimizado com sistemas de atualização automática de rede habilitados.

A aplicação dos softwares de correção disponibilizados pelos fabricantes de roteadores e ONUs nos equipamentos instalados nas dependências dos consumidores é essencial. Tomar as providências necessárias para minimizar o risco de ataques, especialmente em um cenário de intensificação dessas ocorrências, é um diferencial importante para os negócios dos provedores. A segurança da informação exige abandonar respostas superficiais em favor de um diagnóstico sistêmico e ágil.