Governos e corporações de diversas nações, incluindo o Brasil, retiraram milhares de portais eletrônicos do ar como medida preventiva após a descoberta de duas falhas críticas na linguagem de programação PHP. A tecnologia sustenta cerca de 70% das páginas em toda a internet e as vulnerabilidades encontradas receberam nota 9,2 na escala CVSS, que mede a gravidade de falhas digitais de 0 a 10, abrindo caminho para invasões de hackers, acesso a sistemas internos e roubo de bancos de dados.
Impacto global e a descoberta com inteligência artificial
Batizadas coletivamente de PHP2Shell, as duas falhas foram identificadas por equipes da OpenAI, da empresa de cibersegurança Wiz, pertencente ao Google, e de outra empresa de cibersegurança, a Calif. Os bugs estavam ocultos no software havia anos e só foram descobertos com o auxílio de inteligência artificial, permitindo teoricamente que invasores lessem a memória em busca de informações confidenciais, como senhas de usuários.
O PHP é amplamente utilizado para processar informações nos servidores e viabilizar recursos essenciais como cadastros, logins, pagamentos e consultas em lojas virtuais, além de sustentar plataformas como o WordPress e o Drupal. A Fundação PHP já lançou uma correção, mas autoridades de segurança cibernética recomendam atualização imediata ou, quando isso não for possível, a restrição temporária do acesso público às aplicações vulneráveis.
Ações preventivas em governos e empresas
A Agência de Segurança Nacional dos EUA, a agência europeia de cibersegurança e nações como Bélgica, Finlândia, França e Alemanha implementaram ações emergenciais. No Brasil, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) publicou um alerta recomendando que as instituições identifiquem os sistemas que usam a linguagem e instalem as correções ou limitem o acesso público.
No Reino Unido, quase três dezenas de serviços do governo ficaram indisponíveis durante atualizações de segurança. A ministra do governo, Elizabeth Lloyd, relatou a situação à Câmara dos Lordes. “Nenhum serviço crítico de grande porte voltado ao público está sendo executado pelo processo, mas alguns serviços limitados podem ficar temporariamente offline enquanto o trabalho de segurança é realizado”, disse um porta-voz do governo britânico a repórteres.
Na Holanda, houve a suspensão preventiva de portais como o DigiD, usado para acessar serviços estatais. As interrupções atingiram serviços bancários, aéreos, ferroviários, fiscais e governamentais de Tóquio a Helsinque, evidenciando a dependência mundial de códigos legados. “Não vejo nada parecido com isso há muito, muito tempo”, afirmou o presidente-executivo da Microsoft, Satya Nadella, em um evento na Alemanha, destacando a complexidade dos sistemas atuais.
Tentativas de exploração em massa
A Cloudflare registrou milhões de tentativas de exploração após a divulgação pública das falhas, embora nenhum ataque cibernético em massa tenha sido confirmado até o momento. “Nas 10 horas antes do anúncio público, observamos milhares de tentativas de exploração em toda a rede”, declarou o presidente-executivo da Cloudflare, Matthew Prince, em uma postagem no X na noite de quarta-feira. “Esse número saltou para dezenas de milhares nos 45 minutos após o anúncio, centenas de milhares em duas horas e, agora, milhões.”
Madeline Lawrence, cofundadora da Aikido Security, alertou sobre a velocidade dos ataques. “As empresas estão correndo para se atualizar contra invasores que podem usam IA para explorá-las. Essa é toda a corrida”, pontuou. A exposição afeta diretamente ecossistemas financeiros e comerciais da rede. “Com o PHP por trás de uma parcela tão vasta da web, a exposição poderia alcançar praticamente todos os lugares onde as pessoas gastam dinheiro online”, afirmou Nigel Green, CEO do deVere Group.