A recente falha de segurança na linguagem de programação PHP levantou alarmes em todo o mundo, levando à retirada preventiva de numerosos sites. A Fundação PHP, responsável pelo desenvolvimento da linguagem, revelou que os primeiros indícios do problema foram detectados em 2024, durante uma auditoria de segurança realizada pela Quarkslab, uma empresa francesa especializada em cibersegurança.
Desde o dia 21 de novembro, governos e empresas de diversos países têm adotado medidas drásticas para evitar invasões, que poderiam permitir que criminosos assumissem o controle de servidores sem necessitar de credenciais. No Brasil, instituições como a Anatel e tribunais suspenderam temporariamente o acesso ao Sistema Eletrônico de Informações (SEI), que gerencia processos administrativos, embora até o momento não haja relatos de impactos significativos.
O PHP, que é amplamente utilizado na construção de sites — incluindo plataformas conhecidas como Facebook, Wikipedia e WordPress — é uma das linguagens mais populares na web, sendo empregada em cerca de 70% dos sites, segundo Thiago Ayub, diretor de tecnologia da Sage Networks. A urgência em atualizar o software é crítica, uma vez que os sites que não realizarem as atualizações necessárias correm sérios riscos de invasão.
A Fundação PHP, em sua nota, explicou que a demora na correção das vulnerabilidades se deveu a dificuldades no processo de decisão da equipe de segurança, a falta de uma exploração conhecida da falha e à sobrecarga dos poucos desenvolvedores que têm expertise em PHP. A segurança da linguagem, conforme apontado pela fundação, ainda depende de um pequeno grupo de desenvolvedores e das contribuições de voluntários.
Ademais, embora a fundação já tivesse conhecimento das falhas, elas foram também identificadas de forma independente por empresas de segurança, como a Calif e a OpenAI, que relataram as vulnerabilidades em agosto. A Wiz, uma empresa de segurança na nuvem, acrescentou que suas investigações revelaram formas adicionais de exploração, classificando essas vulnerabilidades como algumas das mais graves na história do PHP.
Com a ajuda de ferramentas de inteligência artificial, como o Gemini do Google e o GPT da OpenAI, a descoberta de falhas se tornou mais eficiente. A Wiz destacou que, por mais de uma década, as vulnerabilidades permaneceram sem resposta devido à complexidade de sua descoberta e exploração, um desafio que a IA está começando a ajudar a resolver.
