Descoberta de brecha no PHP que afetou sites ocorreu há dois anos

Vulnerabilidades no PHP levam a medidas de segurança em vários países.

A Fundação PHP revelou que os primeiros sinais das vulnerabilidades que resultaram na retirada preventiva de sites começaram a surgir em 2024. A correção dessas falhas enfrentou diversas interrupções, devido à falta de recursos e dificuldades nas decisões da equipe de segurança.

As vulnerabilidades identificadas podem permitir que invasores assumam o controle de servidores sem a necessidade de login ou senha. Uma atualização de segurança já foi disponibilizada, enquanto órgãos públicos e empresas implementaram medidas preventivas para mitigar o risco de ataques.

Por que a correção demorou?

O problema foi detectado durante uma auditoria externa realizada em 2024. A Fundação PHP destacou que o processo de correção das vulnerabilidades se prolongou por meses e enfrentou três principais obstáculos:

• Falta de um método conhecido de exploração, dificultando a execução de comandos remotamente.
• Dificuldades nas decisões da equipe de segurança, que enfrentou entraves para definir a abordagem correta para a correção.
• Sobrecarga de especialistas, com poucos desenvolvedores possuindo conhecimento profundo sobre o funcionamento interno do PHP.

A fundação também reconheceu que a segurança da linguagem depende de um número reduzido de desenvolvedores, que são financiados por fundações e colaboradores voluntários. A limitação de recursos é preocupante, especialmente considerando a ampla utilização do PHP na internet, presente em plataformas como Facebook, Wikipedia, WordPress, além de sistemas educacionais como Moodle e soluções de comércio eletrônico como Magento.

Como a inteligência artificial entrou no caso

A Fundação PHP tem utilizado ferramentas de inteligência artificial para analisar códigos e avaliar relatos de falhas. Esses recursos têm se mostrado eficazes na identificação rápida de problemas, embora não consigam determinar a melhor forma de estruturar uma correção.

A investigação sobre as vulnerabilidades também avançou por parte de outras empresas. A Calif e a OpenAI identificaram as falhas de forma independente e as reportaram em agosto deste ano. Além disso, a Wiz, especializada em segurança na nuvem, descobriu outras formas de explorar as falhas.

Recentemente, a Wiz classificou o caso como um dos mais graves já registrados no PHP, afirmando que essas vulnerabilidades estão entre as mais críticas já descobertas na história do software. A empresa destacou que, por mais de uma década, essas falhas permaneceram sem resposta devido à complexidade de sua descoberta e exploração.

Para investigar as falhas, a Wiz utilizou modelos avançados de inteligência artificial, o que facilitou a identificação das vulnerabilidades.

Sites foram retirados do ar por precaução

A partir do dia 21, governos e empresas em diversos países suspenderam temporariamente o acesso a sites como medida de precaução contra invasões. No Brasil, a Agência Nacional de Telecomunicações (Anatel) e tribunais suspenderam o acesso ao Sistema Eletrônico de Informações (SEI). Até o momento, não foram registrados grandes impactos no país.

A gravidade da situação é evidenciada pela ampla utilização do PHP, que ainda é a linguagem de programação utilizada em cerca de 70% dos sites, segundo rankings públicos. Com a atualização de segurança disponível, a aplicação da correção nos sistemas afetados é a principal estratégia para reduzir o risco de invasões.