Na quarta-feira (21), uma onda de desativação de sites tomou conta de agências governamentais e empresas ao redor do mundo, tudo em resposta à descoberta de duas falhas de segurança críticas na linguagem de programação PHP, amplamente utilizada na construção de páginas da internet. A Agência de Segurança Nacional dos Estados Unidos (NSA) emitiu um alerta urgente, recomendando que as organizações afetadas realizassem correções imediatas ou, caso não fosse possível, desligassem seus sistemas vulneráveis.
Essas falhas, segundo a NSA, permitem que hackers tenham acesso direto ao sistema de arquivos ou ao banco de dados do servidor, colocando em risco a integridade de diversos sites, desde lojas virtuais até serviços públicos e portais de notícias. A situação é ainda mais alarmante, considerando que o PHP é a base de muitos dos sites mais populares da internet.
A descoberta dessas vulnerabilidades se dá em um contexto em que a segurança de software está sendo cada vez mais discutida, especialmente com o avanço de modelos de inteligência artificial que podem facilitar a exploração de falhas. Projeções indicam que, se a tendência atual continuar, o número de vulnerabilidades identificadas em 2026 poderá dobrar o recorde registrado no ano anterior.
Em resposta à situação, desenvolvedores voluntários do projeto PHP disponibilizaram uma atualização crítica na mesma quarta-feira. A PHP Foundation reforçou a urgência da atualização, alertando que qualquer usuário da linguagem deve agir imediatamente para proteger seus sistemas.
As falhas foram inicialmente reportadas em agosto pela Calif, uma empresa de segurança, e pela OpenAI, que as identificou de forma independente. Após a comunicação privada aos desenvolvedores do PHP, as informações foram mantidas em sigilo para que uma correção pudesse ser implementada. No entanto, detalhes sobre as vulnerabilidades vazaram na terça-feira, um dia antes do lançamento da atualização, resultando em uma corrida frenética para desativar sites vulneráveis.
Na França, por exemplo, várias páginas de administrações locais, incluindo a da Prefeitura de Polícia de Paris, foram retiradas do ar a pedido da Agência Nacional de Cibersegurança. Já nos Países Baixos, o serviço nacional de identidade digital DigiD e outros sites governamentais também foram desativados como medida preventiva, segundo informações da emissora pública NOS.
