A linguagem de programação PHP, amplamente utilizada para a criação de sites, está no centro de uma grave crise de segurança que resultou na retirada preventiva de diversos sites do ar em todo o mundo. A Fundação PHP confirmou que os primeiros indícios da vulnerabilidade foram detectados em 2024, mas a correção enfrentou diversos entraves, incluindo a falta de recursos e dificuldades na tomada de decisões da equipe de segurança.
Desde quarta-feira (21), governos e empresas globais têm tomado medidas drásticas para evitar invasões. As falhas de segurança identificadas podem permitir que hackers assumam o controle de servidores sem a necessidade de autenticação. Para mitigar os riscos, uma atualização corretiva já foi disponibilizada.
No Brasil, instituições como a Agência Nacional de Telecomunicações (Anatel) e diversos tribunais suspenderam o acesso ao Sistema Eletrônico de Informações (SEI), um importante gerenciador de processos administrativos, como precaução. Até o momento, os impactos no país não foram significativos, mas a situação é monitorada de perto.
O PHP é uma das linguagens de programação mais populares, utilizada em cerca de 70% dos sites, segundo Thiago Ayub, diretor de tecnologia da Sage Networks. Ele destaca que a rápida atualização de sistemas é crucial para evitar invasões. O PHP é utilizado em plataformas conhecidas, como Facebook, Wikipedia e WordPress, além de aplicações educacionais e de comércio eletrônico.
A Fundação PHP informou que a origem da vulnerabilidade foi identificada durante uma auditoria de segurança pela empresa francesa Quarkslab. No entanto, o processo de correção foi prejudicado por uma série de fatores, incluindo a falta de clareza sobre como explorar a falha e a sobrecarga de uma equipe reduzida de desenvolvedores especializados.
Adicionalmente, a fundação tem utilizado ferramentas de inteligência artificial, como o Claude Mythos, para acelerar a identificação de problemas, mas reconhece que a IA não é capaz de estruturar soluções de forma autônoma. Curiosamente, as falhas também foram detectadas por outras entidades de segurança, incluindo a Calif e a OpenAI, que relataram vulnerabilidades em agosto deste ano.
A empresa Wiz, especializada em segurança na nuvem, destacou que essas vulnerabilidades estão entre as mais severas já encontradas no PHP. Segundo a Wiz, a descoberta de falhas críticas se tornou mais ágil com o auxílio de modelos de IA, que têm revolucionado a forma como problemas de segurança são identificados e explorados. A complexidade das vulnerabilidades antes da era da IA havia dificultado sua resolução por mais de uma década.
