A Fundação PHP, entidade responsável pela linguagem de programação de mesmo nome, confirmou que os primeiros sinais da falha de segurança que resultou na retirada preventiva de sites do ar em todo o mundo foram identificados em 2024. Em nota oficial, a organização atribuiu o atraso na correção do problema à falta de recursos financeiros e a dificuldades nos processos de decisão da equipe de segurança.

Desde uma quarta-feira (21), governos e empresas de diversos países suspenderam o funcionamento de portais e sistemas para mitigar riscos de invasão. As vulnerabilidades identificadas têm o potencial de permitir que criminosos assumam o controle de servidores que hospedam páginas web sem a necessidade de credenciais de login ou senha. Uma atualização corretiva para sanar as falhas já foi disponibilizada.

No Brasil, órgãos como a Agência Nacional de Telecomunicações (Anatel) e tribunais optaram por suspender preventivamente o acesso ao Sistema Eletrônico de Informações (SEI), utilizado na gestão de processos administrativos. Até o momento, não há registros de impactos de grande proporção no país.

O PHP figura entre as linguagens de programação mais populares para o desenvolvimento de sites. Trata-se de um software gratuito e de código aberto — passível de uso e modificação por qualquer pessoa — que atua na interpretação e execução de códigos. A tecnologia é empregada em plataformas de grande porte, como Facebook, Wikipedia e WordPress, além de sistemas educacionais como o Moodle e ferramentas de comércio eletrônico como o Magento.

Segundo Thiago Ayub, diretor de tecnologia da Sage Networks e especialista em telecomunicações, rankings públicos indicam que o PHP ainda é utilizado em aproximadamente 70% dos sites da internet. O especialista alerta que portais que negligenciarem a atualização rápida correm riscos iminentes de invasão.

Motivos para a demora na correção

De acordo com o comunicado divulgado pela Fundação PHP, os primeiros indícios da falha emergiram durante uma auditoria externa de segurança conduzida pela empresa francesa Quarkslab em 2024.

Contudo, o fluxo de correção enfrentou sucessivas interrupções ao longo dos meses. A entidade pontuou três fatores determinantes para o atraso:

• Dificuldades operacionais no processo de tomada de decisão da equipe de segurança;
• A ausência, no período, de um método conhecido que permitisse explorar a falha para a execução remota de comandos;
• A sobrecarga de trabalho sobre o restrito grupo de desenvolvedores com conhecimento aprofundado na arquitetura do PHP.

A instituição ressaltou que a manutenção da segurança do PHP ainda repousa sobre um contingente reduzido de programadores financiados por fundações, além de contribuições voluntárias.

Para mitigar gargalos, a fundação utiliza ferramentas de inteligência artificial, a exemplo do Claude Mythos, para a análise de códigos, validação e avaliação de relatórios de vulnerabilidade. Embora tais tecnologias agilizem a detecção de problemas, a entidade esclarece que elas não possuem capacidade autônoma para definir a melhor estrutura de correção.

O papel da inteligência artificial no caso

Apesar de a Fundação PHP já ter conhecimento prévio sobre as vulnerabilidades, as falhas também foram mapeadas de forma independente pela empresa de segurança Calif e pela OpenAI (desenvolvedora do ChatGPT), que reportaram o problema em agosto do mesmo ano.

Posteriormente, a empresa de segurança em nuvem Wiz relatou ter descoberto vetores alternativos de exploração. Em pronunciamento veiculado na quarta-feira (21), a Wiz classificou os achados como algumas das vulnerabilidades mais graves já registradas na história do PHP e, possivelmente, na história do software.

A Wiz informou ter utilizado os modelos de IA Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI, no processo de investigação. "Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas [sem o uso da IA]", destacou a empresa.

Fonte original: G1