A Fundação PHP reconhece que dificuldades na tomada de decisões e sobrecarga dos desenvolvedores fizeram a correção ser interrompida e retomada várias vezes.
A Fundação PHP, entidade responsável pela popular linguagem de programação de mesmo nome, confirmou que os primeiros indícios da falha de segurança que levou à retirada preventiva de sites ao redor do mundo foram identificados em 2024. A entidade atribuiu o considerável atraso na correção a uma combinação de fatores, incluindo a falta de recursos e complexidades no processo de decisão da equipe de segurança.
Desde quarta-feira (21), governos e empresas de diversas nações optaram por suspender temporariamente seus sites para prevenir possíveis invasões. As vulnerabilidades descobertas são de extrema gravidade, pois poderiam permitir que cibercriminosos assumissem o controle total dos servidores que hospedam os sites, sem a necessidade de qualquer tipo de autenticação, como login ou senha. Felizmente, uma atualização para sanar essas falhas já se encontra disponível.
No Brasil, a Agência Nacional de Telecomunicações (Anatel) e diversos tribunais suspenderam, por medida de precaução, o acesso ao Sistema Eletrônico de Informações (SEI), ferramenta essencial para a gestão de processos administrativos. Até o momento, não há relatos de grandes impactos negativos no país decorrentes dessa vulnerabilidade.
O PHP: Uma Linguagem Essencial e Sua Vulnerabilidade Crítica
O PHP é amplamente reconhecido como uma das linguagens de programação mais utilizadas globalmente para o desenvolvimento de websites. O software de mesmo nome, que opera sob licença gratuita e de código aberto, permitindo que qualquer indivíduo o utilize e modifique, é responsável por interpretar e executar o código escrito nesta linguagem. Essa tecnologia é a base de serviços de grande porte como Facebook e Wikipedia, além de plataformas populares como WordPress, Moodle (usado por instituições de ensino) e Magento (voltado para lojas virtuais).
Thiago Ayub, diretor de tecnologia da Sage Networks e especialista em telecomunicações, reforça a importância do PHP, afirmando que “rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites”. Segundo Ayub, a urgência em atualizar os sites que utilizam essa linguagem é crucial para evitar potenciais invasões.
Por Que a Correção da Falha no PHP Demorou Tanto?
Em um comunicado oficial divulgado em seu site, a Fundação PHP detalhou que os primeiros indícios do problema foram detectados durante uma auditoria externa de segurança conduzida pela empresa francesa de cibersegurança Quarkslab, no ano de 2024. O processo de correção, contudo, enfrentou sérias interrupções e retomadas ao longo de diversos meses.
De acordo com a Fundação PHP, o atraso na resolução da vulnerabilidade foi motivado principalmente por três razões: dificuldades significativas no processo de tomada de decisão da equipe de segurança; a ausência, na época, de um método conhecido para explorar a falha e executar comandos remotamente; e a sobrecarga de trabalho dos poucos desenvolvedores que possuíam um conhecimento profundo do funcionamento interno do PHP.
A entidade também ressaltou que a manutenção da segurança do PHP ainda depende de um grupo restrito de desenvolvedores, que são financiados por meio de fundações e de contribuições voluntárias. Essa estrutura limitada pode ter impactado a agilidade na resposta a ameaças.
O Papel da Inteligência Artificial na Descoberta e Correção das Vulnerabilidades
Apesar de a Fundação PHP já ter conhecimento das vulnerabilidades, elas também foram identificadas de forma independente por outras empresas de segurança. A Calif e a OpenAI, proprietária do ChatGPT, reportaram as falhas em agosto deste ano. Posteriormente, a Wiz, uma empresa especializada em segurança na nuvem, informou ter descoberto métodos adicionais para explorar essas mesmas brechas.
A Wiz descreveu as vulnerabilidades como “entre as mais graves descobertas no PHP e, possivelmente, na história do software”. A empresa revelou ter utilizado modelos de inteligência artificial, como o Gemini 4 Argon do Google e o GPT-5.6 Sol da OpenAI, em seu trabalho de análise e descoberta. Essas ferramentas de IA foram cruciais para identificar e entender a magnitude do problema.
A Fundação PHP mencionou que utiliza ferramentas de IA, como o Claude Mythos, para auxiliar na análise de códigos e na validação de relatos de falhas de segurança. Embora essas tecnologias ajudem a identificar problemas com mais rapidez, a entidade pondera que elas ainda não possuem a capacidade de decidir a melhor estratégia para a implementação de uma correção eficaz.
A empresa Wiz destacou que “por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas sem o uso da IA”. Isso evidencia como a inteligência artificial se tornou uma ferramenta indispensável na cibersegurança moderna, acelerando processos que antes levavam anos para serem solucionados.
