Duas vulnerabilidades críticas no PHP, linguagem presente em quase sete em cada dez sites cuja tecnologia é identificável, levaram órgãos públicos da Europa a tirar páginas do ar por precaução. A estimativa é da W3Techs, empresa que monitora o uso de tecnologias na web.
O PHP opera nos bastidores: quando alguém abre uma página, o servidor executa o código, monta o conteúdo e entrega ao navegador o resultado final. É gratuito, de código aberto e mantido por voluntários. Também é a base do WordPress, que sustenta cerca de quatro em cada dez sites do mundo, de blogs a portais de governo e lojas virtuais.
A reação das autoridades tem relação com a gravidade das falhas. As duas receberam nota 9,2 em 10 na escala CVSS, padrão do setor para medir risco. Segundo o CERT-EU, equipe de resposta a incidentes cibernéticos das instituições da União Europeia, a nota indica possibilidade de execução remota de código sem autenticação. Na prática, um invasor poderia dar comandos a um servidor vulnerável pela internet, sem senha nem conta.
A GoDaddy, empresa de hospedagem, citou roubo de dados, páginas adulteradas e comprometimento total do sistema entre as consequências possíveis. Agências de cibersegurança da Europa, do Reino Unido, da Austrália e do Japão pediram atualização imediata ou a retirada dos sites do ar até a correção. Órgãos dos Países Baixos e da Finlândia desligaram páginas antes mesmo da correção, incluindo a agência holandesa de cibersegurança, segundo a AP.
Relatos indicam que detalhes das falhas circularam online antes da divulgação combinada, e o grupo do PHP antecipou o lançamento das correções. O diretor de tecnologia da Cloudflare, empresa de infraestrutura de internet, disse que os primeiros ataques já estavam surgindo.
O desafio maior está nos sites pequenos. Muitos funcionam em hospedagem compartilhada, sem equipe de segurança, e os donos nem sempre sabem quem atualiza o PHP no servidor. A Wordfence, plugin de segurança para WordPress, alertou que as atualizações automáticas habituais não aplicam esta correção. O CERT-EU orienta que as organizações que não conseguirem corrigir de imediato considerem isolar os aplicativos da rede pública.
A descoberta também chama atenção. A Calif, empresa de segurança, identificou uma das falhas com apoio de um modelo de inteligência artificial da OpenAI. A Wiz, empresa de segurança da Alphabet, encontrou e reportou as duas vulnerabilidades de forma independente. As descobertas foram comunicadas ao grupo do PHP ao longo de agosto.
Segundo a Wiz, as falhas decorrem de decisões de arquitetura tomadas há mais de uma década. Provar que podiam ser exploradas exigiu uma sequência de etapas que, na prática, estaria no limite das capacidades de pesquisadores humanos. A empresa avalia que estão entre as mais graves já encontradas no PHP.
Os Estados Unidos afirmaram acompanhar o caso e coordenar com agências federais e laboratórios de IA a liberação da correção, segundo a Reuters.
O grupo responsável pelo PHP pede que todos os usuários atualizem de imediato para as versões corrigidas — 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A recomendação inclui sites brasileiros hospedados em servidores que utilizam a linguagem.
