Sites do governo na Europa caem após falhas críticas no PHP

Páginas governamentais em toda a Europa saíram do ar nesta quarta-feira enquanto equipes técnicas trabalhavam de forma urgente para corrigir duas falhas críticas encontradas no PHP, uma das linguagens de programação mais populares da rede mundial de computadores. Os criadores do PHP informaram na quarta-feira que disponibilizarão patches de atualização, enquanto autoridades de segurança da União Europeia recomendaram que as instituições incapazes de aplicar as correções desativem temporariamente as páginas atingidas.

O que é o PHP? Trata-se de uma linguagem de programação encarregada de processar comandos de páginas na web, operando nos bastidores. No momento em que um visitante acessa um endereço, o servidor processa o PHP e entrega a página pronta para o navegador do internauta. O recurso é gratuito, possui código aberto e conta com manutenção de voluntários, sendo que os administradores de sites raramente lidam diretamente com ele.

De acordo com o monitor de tecnologias web W3Techs, o PHP está presente em quase 70% de todas as páginas cuja tecnologia subjacente pode ser identificada. Ele serve de motor para o WordPress, plataforma que sustenta aproximadamente 40% de todos os sites da internet, o que inclui blogs, portais de pequenos negócios, páginas governamentais, e-commerces e portais jornalísticos.

Riscos graves As duas falhas alcançaram nota 9,2 de 10 na escala de gravidade CVSS v4.0, padrão utilizado no mercado. O CERT-EU, grupo de resposta a incidentes de segurança da União Europeia, declarou que essa pontuação aponta para a execução remota de código sem exigência de autenticação. Isso significa que um cibercriminoso tem a capacidade de rodar comandos em um servidor vulnerável pela internet, sem a necessidade de senha ou cadastro prévio.

Uma única brecha no PHP gera a mesma vulnerabilidade em milhões de servidores simultaneamente, permitindo que quem explore a falha assuma o controle do site. A empresa de hospedagem GoDaddy pontuou que o problema pode provocar furto de informações, alterações maliciosas nas páginas ou invasão completa da infraestrutura. O diretor de tecnologia da Cloudflare relatou que os primeiros ataques já começaram a aparecer.

Grande parte dos pequenos sites é gerenciada por donos que não possuem equipe de segurança, frequentemente utilizando hospedagem compartilhada, cenário onde não administram o servidor e talvez desconheçam quem faz a atualização do PHP. O plugin de proteção Wordfence advertiu que os processos habituais de atualização automática não vão instalar essa correção. Por isso, a diretriz do CERT-EU é desativar as páginas vulneráveis em vez de mantê-las expostas.

Descoberta com inteligência artificial Especialistas da companhia de segurança Calif, trabalhando junto com a OpenAI, comunicaram o primeiro problema aos desenvolvedores do PHP em 11 de agosto, após detectá-lo com o auxílio do modelo GPT-5.6 Sol, conforme relatado pela organização. Por sua vez, a Wiz, empresa de segurança da Alphabet, detectou as falhas de maneira autônoma e reportou uma segunda fragilidade em 24 de agosto, também recorrendo a ferramentas de inteligência artificial.

A Wiz destacou que as revelações “estão entre as vulnerabilidades mais graves já descobertas no PHP e, possivelmente, na história do software”. A empresa pontuou que os defeitos existiam há décadas, mas comprovar a possibilidade de exploração exigiu uma série de passos “no limite do que pesquisadores humanos poderiam alcançar na prática”.

O governo americano informou que monitora a situação e atua em conjunto com órgãos federais e principais laboratórios de inteligência artificial para acelerar a liberação do patch de correção.