Falha grave no PHP leva governos europeus a tirar sites do ar

Sites governamentais em toda a Europa ficaram fora do ar nesta quarta-feira (21), enquanto operadores tentavam corrigir duas vulnerabilidades críticas na linguagem de programação PHP.

Autoridades de segurança da União Europeia orientaram as organizações que não consigam aplicar as correções a retirar do ar os sites afetados. Os desenvolvedores do PHP anunciaram que vão lançar as correções.

O PHP roda nos servidores e monta as páginas antes de enviá-las ao navegador. A linguagem é gratuita, de código aberto e mantida por voluntários. Segundo a W3Techs, ela está presente em quase 70% dos sites cuja linguagem pode ser identificada, incluindo os que usam o WordPress, sistema sobre o qual se apoiam cerca de 40% de todos os sites.

As duas falhas receberam nota 9,2 em 10 na escala CVSS v4.0. Segundo o CERT-EU, equipe de resposta a incidentes de segurança da UE, elas permitem a execução remota de código sem autenticação. Um invasor pode, pela internet, rodar comandos em um servidor vulnerável sem senha ou conta. A GoDaddy afirmou que isso pode levar a roubo de dados, vandalização de páginas ou controle total do sistema.

Sites pequenos, em geral em hospedagem compartilhada, são os mais expostos, porque os donos muitas vezes não gerenciam o servidor. O Wordfence, plugin de segurança para WordPress, alertou que as atualizações automáticas habituais não aplicarão essa correção.

A empresa de segurança Calif, em colaboração com a OpenAI, relatou a primeira falha ao grupo que desenvolve o PHP em 11 de agosto. A Wiz, da Alphabet, encontrou as falhas de forma independente e informou um segundo problema em 24 de agosto. Ambas as empresas usaram modelos de inteligência artificial na identificação. A Wiz afirmou que as descobertas estão entre as vulnerabilidades mais graves já encontradas no PHP. O governo dos Estados Unidos disse que coordena agências federais e grandes laboratórios de IA para acelerar o lançamento da correção.