Duas vulnerabilidades consideradas críticas na linguagem de programação PHP levaram governos, empresas e instituições a retirar temporariamente seus sites do ar nesta quarta-feira (21). A medida preventiva foi adotada após alertas sobre a possibilidade de criminosos explorarem as falhas para executar códigos ilegais em sistemas vulneráveis.

As falhas chamaram a atenção pela abrangência potencial: o PHP é utilizado em uma parcela significativa da internet, inclusive em sistemas de gerenciamento de conteúdo e plataformas que operam por trás dos sites. Embora nem todas as páginas da web utilizem a linguagem, sua presença em diferentes serviços pode ampliar o número de sistemas sujeitos ao problema.

Sites de governos e instituições são retirados do ar

A interrupção preventiva atingiu diferentes países. Na Bélgica, foram afetados sites de órgãos do governo da região de Flandres, do Parlamento flamengo, do Ministério das Relações Exteriores e do Centro Belga de Cibersegurança. Também ficaram indisponíveis páginas da plataforma escolar Smartschool, de empresas de comunicação e do hospital AZ Monica, em Antuérpia.

Na Holanda, a lista incluiu o portal MijnOverheid, utilizado para serviços públicos, o site da Câmara dos Representantes e páginas de instituições ligadas à saúde, ao transporte e à segurança. A Finlândia também suspendeu temporariamente serviços digitais do governo. No Reino Unido, páginas do Conselho Municipal de Edimburgo e de programas da BBC, como Doctor Who e The Traitors, foram apontadas entre as afetadas, embora nem todas as organizações tenham confirmado oficialmente que a indisponibilidade estava relacionada às falhas no PHP.

A retirada dos sites do ar não significa necessariamente que eles tenham sido invadidos. Em muitos casos, a decisão foi uma precaução para reduzir a exposição enquanto as equipes técnicas verificavam os sistemas e preparavam a instalação das correções.

O problema está relacionado ao processamento de arquivos e informações pelo PHP. De acordo com pesquisadores de segurança, as vulnerabilidades podem permitir a execução remota de códigos sem que o invasor precise fazer login. Dependendo das permissões e da configuração do servidor, isso pode abrir caminho para a instalação de programas maliciosos, o acesso a informações ou o comprometimento de aplicações.

O risco não se restringe a páginas que permitem o envio de arquivos pelos usuários. Conforme os alertas técnicos, o problema está no processamento de determinadas requisições pelo PHP. Por isso, a proteção depende da versão utilizada, da configuração do servidor e da aplicação das correções, e não apenas da existência de uma função de upload.

Inteligência artificial ajudou a identificar as falhas

A descoberta das vulnerabilidades também chamou a atenção pelo uso de inteligência artificial na pesquisa de segurança. Segundo a empresa Wiz, uma das organizações envolvidas na investigação, os pesquisadores identificaram falhas que estavam presentes no código havia mais de uma década.

A investigação contou com pesquisadores da Calif e da Wiz, que trabalharam na identificação e na demonstração dos problemas. A OpenAI também relatou a participação de seus modelos de inteligência artificial na análise das vulnerabilidades e no processo de preparação das correções antes da divulgação pública.

A descoberta evidencia uma mudança no trabalho de segurança digital: ferramentas de inteligência artificial podem ajudar a examinar grandes volumes de código, identificar comportamentos inesperados e testar se uma falha pode ser explorada. Ao mesmo tempo, essa capacidade também pode acelerar o trabalho de criminosos depois que uma vulnerabilidade se torna conhecida.

A Wiz classificou os problemas entre os mais graves já identificados com auxílio de inteligência artificial. A empresa estimou que cerca de 70% da internet poderia ser afetada, mas a BBC informou que não conseguiu verificar de forma independente esse percentual. A estimativa se refere à presença potencial da tecnologia, e não a uma confirmação de que essa parcela da web esteja comprometida.

O PHP é utilizado em plataformas conhecidas, como WordPress, Drupal, Joomla e Magento, além de ferramentas e serviços que não deixam evidente ao usuário que dependem dessa tecnologia. A linguagem é executada nos servidores e permite criar páginas dinâmicas e estabelecer a comunicação entre sites e bancos de dados.

O Centro Nacional de Segurança Cibernética do Reino Unido (NCSC, na sigla em inglês) orientou organizações a identificar todos os sistemas que utilizam PHP, priorizar aqueles acessíveis pela internet e monitorar sinais de atividade suspeita. A agência também recomendou que serviços sem condições de aplicar imediatamente as correções sejam retirados do ar até que possam ser protegidos.

A equipe responsável pelo PHP disponibilizou atualizações de segurança para versões mantidas do software. Organizações que utilizam versões antigas precisam verificar as orientações oficiais e planejar a migração para versões com suporte, já que nem todas recebem atualizações de segurança.

A preocupação aumentou depois que a Cloudflare, empresa de infraestrutura e segurança da internet, informou ter identificado tentativas iniciais de exploração das falhas. O alerta reforça a necessidade de não apenas instalar as correções, mas também investigar se houve acessos indevidos antes da atualização.