Sites governamentais em toda a Europa ficaram fora do ar na quarta-feira (21) enquanto operadores corriam para corrigir duas vulnerabilidades críticas no PHP, uma das linguagens de programação mais utilizadas na web.
Serviços governamentais no Brasil também foram suspensos preventimente para a correção das falhas.
A linguagem de programação é responsável por cerca de 70% dos sites no mundo. Segundo cientistas que participaram da descoberta, a vulnerabilidade estava presente no software da empresa há anos, de forma oculta.
O que é PHP?
PHP é uma linguagem de programação que executa sites. Ela funciona nos bastidores: quando um usuário carrega uma página, o servidor que executa o PHP monta o conteúdo e envia a página finalizada para o navegador.
É gratuito, de código aberto e mantido por voluntários. Os proprietários do site raramente interagem diretamente com ele.
De acordo com a W3Techs, empresa que monitora tecnologias web, o PHP é a linguagem utilizada em quase 70% de todos os sites cuja linguagem de programação pode ser identificada. Ele funciona, por exemplo, no WordPress, que alimenta cerca de 40% de todos os sites, como blogs, páginas de pequenas empresas, portais governamentais, lojas online e sites de notícias.
Quais são os riscos das falhas?
As duas vulnerabilidades identificadas receberam uma classificação de 9,2 em 10 na escala de gravidade CVSS v4.0, um sistema de pontuação padrão do setor.
O CERT-EU, a equipe de resposta a incidentes de segurança cibernética da União Europeia, afirmou que essa classificação indica execução remota de código não autenticada, o que significa que um invasor pode executar comandos em um servidor vulnerável, pela internet, sem senha ou conta.
Uma única falha no PHP abre a mesma porta em milhões de servidores simultaneamente. Quem explora essa falha controla o site.
O provedor de hospedagem web GoDaddy disse que isso poderia significar roubo de dados, páginas adulteradas ou comprometimento total do sistema.
A maioria dos sites pequenos geralmente é administrada por proprietários sem equipe de segurança, frequentemente em hospedagens compartilhadas onde não gerenciam o servidor e podem não saber quem atualiza o PHP.
O Wordfence, um plugin de segurança para sites WordPress, alertou que as atualizações automáticas não incluirão essa correção. A recomendação do CERT-EU é tirar os sites afetados do ar em vez de deixá-los expostos.
Como a falha foi encontrada?
Pesquisadores da empresa de segurança Calif, em colaboração com a OpenAI, relataram a primeira falha no PHP em 11 de agosto. Ela foi encontrada usando o modelo GPT-5.6 Sol da OpenAI.
A Wiz, empresa de segurança pertencente ao Google, também investigou o problema e descobriu as falhas de forma independente. A organização relatou uma segunda detecção em 24 de agosto, também usando modelos de IA.
A Wiz afirmou que as descobertas “estão entre as vulnerabilidades mais graves já encontradas no PHP e, possivelmente, na história do software”. Segundo a empresa, as falhas subjacentes estavam presentes há décadas, mas provar que eram exploráveis exigia uma série de etapas “no limite do que pesquisadores humanos poderiam realizar na prática”.
O governo do presidente dos Estados Unidos, Donald Trump, afirmou estar “monitorando e coordenando com agências federais e os principais laboratórios de inteligência artificial para agilizar a divulgação da correção”. A descoberta foi apresentada como prova de que a “superinteligência” americana fortalece a segurança nacional.