Vulnerabilidade descoberta em 2024 levou à retirada de sites do ar
A Fundação PHP informou que os primeiros indícios da falha de segurança que provocou a retirada preventiva de sites foram identificados em 2024 durante uma auditoria externa conduzida pela empresa francesa Quarkslab. Segundo a entidade, o trabalho de correção foi interrompido e reaberto diversas vezes ao longo dos meses seguintes.
As falhas, que podem permitir a tomada de controle de servidores sem a necessidade de login ou senha, levaram governos e empresas de diferentes países a tirarem sites do ar a partir de quarta-feira (21) como medida de proteção contra invasões. Uma atualização destinada a corrigir as vulnerabilidades já está disponível.
No Brasil, a Agência Nacional de Telecomunicações (Anatel) e tribunais suspenderam temporariamente o acesso ao Sistema Eletrônico de Informações (SEI), usado para a gestão de processos administrativos, como precaução. Até o momento, não há relatos de impactos significativos no país.
Por que a correção demorou
A Fundação PHP citou três fatores para o atraso na solução do problema: dificuldades no processo de tomada de decisão da equipe de segurança; ausência, na época, de uma forma conhecida de explorar a falha para execução remota de comandos; e a sobrecarga dos poucos desenvolvedores com conhecimento profundo do núcleo do PHP. A entidade destacou que a segurança da linguagem ainda depende de um pequeno grupo mantido por fundações e de contribuidores voluntários.
A fundação também informou que utiliza ferramentas de inteligência artificial, como o Claude Mythos, para analisar código e avaliar relatos de vulnerabilidade, mas afirmou que essas ferramentas auxiliam na identificação e validação e não substituem a decisão sobre como implementar correções.
Descobertas independentes e papel da IA
Além da Quarkslab, a empresa de segurança Calif e a OpenAI detectaram as vulnerabilidades independentemente e as reportaram em agosto deste ano. A Wiz, especialista em segurança na nuvem, disse ter identificado outras formas de exploração e classificou as descobertas como “entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software”. A Wiz afirmou ter usado os modelos de IA Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI, em suas análises, e acrescentou que, por mais de uma década, essas falhas críticas permaneceram sem resposta devido à complexidade da descoberta e exploração sem o uso de IA.
Especialistas lembram que o PHP é amplamente usado em sites e aplicações — incluindo plataformas como Facebook, Wikipedia, WordPress, Moodle e Magento — e que rankings públicos ainda indicam que a linguagem é responsável por cerca de 70% dos sites, segundo Thiago Ayub, diretor de tecnologia da Sage Networks. Sites que não forem atualizados podem ficar vulneráveis a invasões.
A Fundação PHP reafirmou que a correção foi disponibilizada e recomendou que administradores atualizem suas instalações o quanto antes.
Com informações de G1
