Entenda por que quase 70% dos sites mundiais dependem do PHP

Governos e empresas precisaram tirar portais do ar na última quarta-feira (21) devido a duas falhas graves descobertas no PHP. A abrangência dessa ocorrência se deve à enorme popularidade da tecnologia, criada há mais de 30 anos e presente em 69,3% de todas as páginas da internet cuja linguagem de servidor é conhecida, conforme dados levantados pela W3Techs.

Em entrevista ao Canaltech, Rafael Silva, coordenador acadêmico da FIAP, explicou que essa ampla adoção decorre do baixo custo de desenvolvimento, da facilidade em achar serviços de hospedagem e da expansão de ferramentas como o WordPress.

O PHP opera diretamente nos servidores, processando informações antes que elas sejam exibidas no navegador. Em um e-commerce, por exemplo, a ferramenta serve para buscar mercadorias, gerenciar o carrinho de compras e se comunicar com o banco de dados.

Mesmo acumulando três décadas de existência, o PHP segue recebendo patches de atualização e sendo aplicado em projetos inéditos. Contudo, sua presença massiva em tantos ambientes amplia o alcance potencial de brechas de segurança como as reveladas recentemente.

Motivos para a preferência pelo PHP

Concebido por Rasmus Lerdorf em 1994 e lançado publicamente em 1995, o PHP expandiu-se junto com a popularização da rede mundial, período em que companhias buscavam alternativas econômicas e simples para criar suas páginas iniciais.

Segundo Silva, essa simplicidade de implementação foi determinante para o sucesso da tecnologia. O docente também aponta a relevância do WordPress, um sistema de gestão de conteúdo fundamentado em PHP que domina cerca de 39,6% dos sites globais, de acordo com a W3Techs.

Com essa alta demanda, formou-se um mercado robusto de provedores de hospedagem, programadores e utilitários específicos, simplificando a construção e a manutenção de softwares.

“Quando uma tecnologia funciona bem, tem um custo acessível e atende às necessidades do negócio, não existe necessariamente um motivo para substituí-la”, afirma Silva.

Esse cenário justifica a escolha contínua da linguagem por corporações na hora de erguer portais, páginas de notícias e lojas virtuais. O professor ressalta que a ampla disponibilidade de profissionais e de servidores acessíveis reduz gastos, sobretudo para organizações já habituadas ao ecossistema. Ainda assim, a decisão depende das demandas de cada projeto, havendo alternativas como Python e JavaScript no mercado.

O PHP é uma tecnologia ultrapassada?

Apesar de seus mais de trinta anos, o PHP passou por sucessivas evoluções que aprimoraram sua performance, proteção e recursos técnicos. Para Silva, os riscos surgem principalmente quando empresas mantêm softwares antigos sem acompanhar o desenvolvimento da linguagem.

“Uma tecnologia com 30 anos de história pode continuar sendo bastante eficiente. O que não podemos é utilizar práticas de 20 anos atrás para proteger aplicações que estão expostas às ameaças de hoje”, afirma.

Sistemas criados há uma década ou mais podem acumular dependências e integrações que tornam o suporte técnico mais complexo. Todavia, isso não quer dizer que ferramentas legadas sejam inerentemente inseguras, assim como plataformas recentes também podem sofrer com falhas críticas. O episódio desta semana evidenciou que até recursos amplamente consolidados podem esconder problemas profundos por anos. Conforme o professor, a inteligência artificial também transforma esse panorama ao agilizar a varredura de códigos e a detecção de ameaças.

Os desafios das atualizações em massa

Manter milhões de páginas funcionando após um patch é o grande obstáculo técnico. Silva ilustra com o exemplo de uma loja virtual desenvolvida há dez anos, que pode integrar dezenas de plugins, gateways de pagamento e ferramentas de estoque adaptadas a uma versão específica da linguagem. Uma atualização drástica pode gerar conflitos e interromper as vendas. Por essa razão, companhias sem equipes prontas para testes costumam adiar instalações.

O especialista lembra que nem toda alteração exige uma migração completa, visto que diversas correções chegam com impacto reduzido. Outro ponto crítico é o mapeamento dos ativos.

“O desafio imediato não é apenas instalar uma correção, mas identificar e gerenciar todas as instâncias em que o PHP está em execução”, afirma Don Smith, vice-presidente de Inteligência de Ameaças da Sophos CTU.

O perito aponta que a tecnologia pode estar oculta em plataformas de hospedagem, gerenciadores de conteúdo e softwares terceirizados, sem clareza para os gestores de infraestrutura.

As duas vulnerabilidades divulgadas nesta semana receberam nota 9,2 de 10 em gravidade e permitem a execução de códigos maliciosos de forma remota nos servidores. Os mantenedores do PHP já liberaram quatro compilações corrigidas: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. A orientação técnica é mapear as instalações vulneráveis e atualizar os sistemas imediatamente ou, caso inviável, isolar os ambientes afetados da internet até a devida mitigação.