Duas vulnerabilidades graves na linguagem de programação PHP forçaram governos e corporações a tirar sites do ar preventivamente contra possíveis ataques. Essas falhas foram avaliadas com uma pontuação de 9,2 em uma escala internacional de severidade e possibilitam que invasores executem comandos remotamente em servidores expostos, sem a necessidade de credenciais de acesso ou senhas.
Os desenvolvedores do PHP implementaram atualizações para sanar esses problemas na quarta-feira, dia 21. As autoridades de segurança aconselham que as correções sejam aplicadas imediatamente; alternativamente, os sistemas vulneráveis devem ser isolados da internet até que a proteção seja estabelecida.
Uma das vulnerabilidades chamou a atenção por ter sido detectada originalmente em 2024. De acordo com a Fundação PHP, o tempo decorrido para a correção indica uma falha estrutural no processo. A divulgação das atualizações também elevou a apreensão de especialistas, devido ao risco de invasores estudarem os patches para descobrir métodos de exploração em sistemas que ainda não foram atualizados.
Os desenvolvedores do PHP liberaram quatro atualizações distintas para endereçar as duas vulnerabilidades críticas. A Fundação PHP enfatizou a necessidade urgente de os usuários atualizarem seus sistemas. A fundação reconheceu que uma das falhas foi apontada por um pesquisador em 2024, classificando o atraso na correção como um problema estrutural.
A Agência de Segurança Nacional dos Estados Unidos (NSA) emitiu um alerta indicando que vulnerabilidades desse porte podem facilitar o acesso a arquivos e bases de dados dos servidores. Caso a aplicação imediata de uma atualização não seja viável, a orientação é remover os sistemas impactados da rede.
Por sua vez, a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) recomendou a atualização imediata de todas as instalações do PHP. Até o momento da publicação da matéria pela Reuters, a agência não havia notado explorações dessas vulnerabilidades, embora tenha advertido sobre os perigos de manter os sistemas desprotegidos.
Para Don Smith, vice-presidente de Inteligência de Ameaças da Sophos Counter Threat Unit (CTU), o primeiro obstáculo enfrentado pelas organizações reside em determinar onde o PHP está sendo utilizado. Ele declarou: “O desafio imediato não é apenas instalar uma correção, mas identificar e gerenciar todas as instâncias em que o PHP está em execução”.
O especialista ressaltou que a linguagem pode estar presente em diversos locais, como sites públicos, sistemas de gerenciamento de conteúdo, plataformas de hospedagem e produtos de terceiros, e que, em certas situações, essa presença pode não ser óbvia para a própria organização responsável pela infraestrutura.
Smith sugeriu que as equipes de segurança priorizem várias ações. O executivo também alertou para a rapidez com que agentes maliciosos podem atuar, inclusive utilizando inteligência artificial (IA). Em sua análise, essas vulnerabilidades podem se tornar alvos primários nas horas e dias subsequentes à divulgação dos reparos.
Dessa forma, Smith aconselhou que as organizações não se limitassem apenas à instalação das atualizações, devendo também investigar se algum invasor já obteve acesso ao ambiente antes da aplicação dos consertos.
Pesquisadores da empresa de segurança Calif, em parceria com a OpenAI, reportaram uma das vulnerabilidades aos desenvolvedores do PHP em 11 de agosto, após identificá-la com o auxílio do modelo GPT-5.6 Sol. A Wiz, outra empresa de segurança associada à Alphabet (controladora do Google), identificou os problemas de maneira independente e comunicou uma segunda falha em 24 de agosto, também empregando modelos de IA.
Essa descoberta demonstrou como as ferramentas de IA podem auxiliar pesquisadores na localização de falhas em softwares amplamente utilizados. Contudo, a possibilidade de invasores analisarem as correções reforça a urgência de manter os sistemas afetados atualizados e de monitorar qualquer atividade suspeita.