Falha em linguagem PHP expõe sites no mundo e leva governos a pedir atualização urgente

Falhas graves na linguagem de programação PHP, usada para construir sites desde os anos 2000, foram identificadas com auxílio de inteligência artificial e levaram governos e agências de segurança cibernética de diversos países a pedir providências urgentes. Segundo a BBC, os sites que dependem da linguagem podem ter servidores controlados por invasores sem autenticação e dados sensíveis expostos.

Governos e agências recomendaram que os operadores instalem uma correção de emergência ou tirem as plataformas do ar. A Agência de Segurança Nacional dos Estados Unidos orientou que organizações sem capacidade de aplicar o patch imediatamente desconectem seus sistemas. O Centro Nacional de Segurança Cibernética do Reino Unido fez recomendação semelhante e pediu que as organizações verifiquem a existência de backdoors instalados por invasores.

A primeira-ministra do Japão, Sanae Takaichi, pediu que a população verifique se seus sites públicos rodam em PHP. Em publicação na rede X, ela afirmou que suspender temporariamente os sites pode ser uma forma eficaz de reduzir riscos, caso a correção não possa ser aplicada rapidamente.

Entre os afetados estão a Wikimedia, organização por trás da Wikipedia, que desligou parte de seus sistemas como medida preventiva, o governo da Finlândia, a prefeitura de Edimburgo e a própria BBC, que tiraram páginas do ar. A agência de segurança cibernética dos Países Baixos também retirou seu site. Parte das instituições públicas escocesas, incluindo prefeituras e conselhos de saúde, fez o mesmo.

Os desenvolvedores do PHP lançaram correções na quarta-feira (22). A empresa recomendou que todos os usuários atualizem a linguagem imediatamente. Segundo a empresa de segurança Wiz, uma das que identificaram as falhas, elas são as mais graves já detectadas com apoio de IA. A OpenAI, cuja tecnologia foi usada na descoberta, classificou o caso como um dos problemas de segurança de maior impacto recente.

Pesquisadores das empresas Calif e Wiz encontraram as vulnerabilidades com ferramentas de IA capazes de analisar código mais rápido que pessoas ou sistemas antigos. Detalhes da descoberta vazaram na internet nesta semana, o que obrigou os desenvolvedores a antecipar o anúncio. Para o pesquisador Salil Kanhere, da UNSW Sydney, novos ataques são prováveis nas próximas semanas, já que os detalhes técnicos se tornaram públicos.

A responsabilidade recai principalmente sobre os operadores dos sites, mas usuários devem ficar atentos a alertas de segurança de serviços afetados, como pedidos de troca de senha, e a mensagens de phishing que explorem o caso.