Brecha no PHP que tirou sites do ar foi descoberta há dois anos; responsável cita falta de recursos para corrigi-la

O que é PHP e a falha grave de segurança detectada por IA que tirou sites do ar

A Fundação PHP, responsável pela linguagem de programação de mesmo nome, confirmou que os primeiros sinais da falha de segurança que levou à retirada preventiva de sites do ar pelo mundo foram identificados em 2024.

Em nota, a entidade atribuiu o atraso na correção à falta de recursos e a dificuldades no processo de decisão da equipe de segurança.

🗒️ Tem alguma sugestão de reportagem? Mande para o g1

Desde quarta (21), governos e empresas de diferentes países retiraram sites do ar para evitar invasões. As vulnerabilidades podem permitir que criminosos assumam o controle dos servidores que mantêm os sites funcionando, sem precisar de login ou senha. Uma atualização para corrigir as falhas já está disponível.

No Brasil, a Agência Nacional de Telecomunicações (Anatel) e tribunais suspenderam, por precaução, o acesso ao Sistema Eletrônico de Informações (SEI), usado para gerenciar processos administrativos. Até o momento, não há relatos de grandes impactos no país.

🔎 O PHP é uma das linguagens de programação mais populares para criar sites. O software de mesmo nome, gratuito e de código aberto — que qualquer pessoa pode usar e alterar —, interpreta e executa o código escrito nessa linguagem. A tecnologia é usada em serviços como Facebook, Wikipedia e WordPress, além do Moodle, utilizado por instituições de ensino, e do Magento, voltado à criação de lojas virtuais.

Thiago Ayub, diretor de tecnologia da Sage Networks e especialista em telecomunicações, afirma que "rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites". Segundo ele, os sites que não forem atualizados rapidamente podem ser invadidos.

As palavras "PHP Code" no texto e código PHP são exibidas em uma tela.

As palavras "PHP Code" no texto e código PHP são exibidas em uma tela.

Por que a correção demorou

Em comunicado publicado em seu site, a Fundação PHP informou que os primeiros sinais do problema foram identificados durante uma auditoria externa de segurança feita pela empresa francesa de cibersegurança Quarkslab, em 2024.

O trabalho de correção, porém, foi interrompido e retomado várias vezes ao longo de meses. Segundo a entidade, o atraso ocorreu por três motivos:

Dificuldades no processo de decisão da equipe de segurança;

Ausência, naquele momento, de uma forma conhecida de explorar a falha para executar comandos remotamente;

Sobrecarga dos poucos desenvolvedores com conhecimento profundo do funcionamento do PHP.

Na mesma nota, a fundação afirmou que a segurança do PHP ainda depende de um pequeno grupo de desenvolvedores financiados por fundações e de contribuições de voluntários.

A entidade também informou que usa ferramentas de IA, como o Claude Mythos, para analisar códigos, validar e avaliar relatos de falhas de segurança. Essas ferramentas ajudam a identificar problemas mais rapidamente, mas, segundo a fundação, não conseguem decidir qual é a melhor forma de estruturar uma correção.

Papel da IA no caso

Embora a Fundação PHP já tivesse conhecimento das vulnerabilidades, elas também foram identificadas de forma independente pela empresa de segurança Calif e pela OpenAI, dona do ChatGPT, que as reportaram em agosto deste ano.

Depois, a Wiz, empresa de segurança na nuvem, informou ter encontrado outras formas de explorar as falhas. "Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software", afirmou a Wiz na quarta-feira (21).

A empresa disse ter usado os modelos de IA Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI, nesse trabalho.

"Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas [sem o uso da IA]", disse a Wiz.

Por que Trump quer mudar o nome da IA?

Smart Sampa: como funciona o sistema de câmeras de SP que teve senhas expostas