Falha no PHP derruba sites na Europa e dispara alerta de agências de segurança
Governos suspendem páginas na Bélgica, Países Baixos, Finlândia, França e Alemanha após vulnerabilidade crítica em linguagem usada por quase 70% da web.
Foto: Anna Shvets (Pexels)
Sites em vários países ficaram temporariamente fora do ar depois que uma vulnerabilidade grave foi revelada em PHP, linguagem de programação usada na construção de grande parte da web. Segundo o The Guardian, governos tiraram do ar, de forma preventiva, páginas na Bélgica, nos Países Baixos, na Finlândia, na França e na Alemanha enquanto corriam para aplicar correções.
A falha, tornada pública na terça-feira (20), levou a alertas de agências de segurança nacional em Washington e em Londres. Especialistas afirmam que atores mal-intencionados podem explorar a brecha na linguagem, presente em quase 70% dos sites. A organização por trás do PHP liberou um patch na quarta-feira (21), mas o jornal destaca que pode levar tempo até que sistemas vulneráveis o adotem.
A Agência de Segurança Nacional dos Estados Unidos (NSA) orientou organizações que usam PHP a colocar sistemas offline se não puderem corrigi-los de imediato. Disse que a vulnerabilidade poderia “fornecer um caminho direto ao sistema de arquivos ou ao banco de dados do servidor”.
O que aconteceu
Pesquisadores que testavam defesas cibernéticas descobriram a falha. A Wikimedia Foundation informou ter derrubado vários sistemas na quarta-feira, por precaução, até concluírem as correções. Plataformas que usam PHP incluem o WordPress, a Wikipédia, o Slack e — ao menos historicamente — boa parte do Facebook. O Centro Nacional de Cibersegurança do Reino Unido deu orientação semelhante à da NSA e pediu checagem de “backdoors instaladas por um invasor”.
No Reino Unido, sites dos conselhos de Edimburgo, Bristol e Oxford saíram do ar. Na França, páginas de governos locais, inclusive a da prefeitura de polícia de Paris, ficaram offline. Nos Países Baixos, o serviço nacional de identidade digital, o site da Câmara dos Representantes e o do centro nacional de cibersegurança também foram afetados. A Australian Signals Directorate registrou impacto temporário na madrugada local e observou que outros sites governamentais podem ter sofrido efeito semelhante.
A Casa Branca afirmou ter sido informada da falha na sexta-feira. O chefe de segurança da Amazon, CJ Moses, disse que a equipe detectou tentativa de exploração contra um sistema isca (“honeypot”) em 17 de outubro — quatro dias antes da divulgação pública —, a partir de um endereço anônimo; não estava claro, segundo ele, como o ator soube das falhas sob embargo.
A OpenAI disse ter liderado uma coalizão de pesquisadores que achou a brecha e atribuiu papel central à “IA de fronteira”; o pesquisador que encontrou a fraqueza, porém, disse ter usado modelos disponíveis ao público. A Calif relatou ter achado as falhas com um modelo de linguagem grande em 1º de agosto. A Wiz, do Alphabet, escreveu ter usado a Wiz Atlas, o Gemini 4 Argon do Google e o GPT-5.6 Sol da OpenAI, e afirmou que as vulnerabilidades ficaram ocultas no código do PHP por mais de uma década.
Como o conserto já é público e ferramentas de inteligência artificial (IA) conseguem engenharia reversa do bug com pouco esforço, especialistas disseram estar se preparando para uma onda de intrusões. Costin Raiu, da TLP:Black, falou em “corrida para explorar” e no risco de “comprometimento em massa” de servidores vulneráveis. O professor Alan Woodward, da Universidade de Surrey, classificou o quadro como “surpreendente e preocupante” pelo alcance do PHP e alertou para uma “longa cauda” de sites mal mantidos que podem permanecer vulneráveis por semanas ou meses.
Michał Woźniak, especialista em infraestrutura de internet, afirmou que haverá “muita exploração automática” e que o bug pode permitir que mineradores de criptomoedas usem servidores vulneráveis às custas de terceiros. Também disse que organizações criminosas e atores estatais russos poderiam usar sites vulneráveis como plataforma para ataques de negação de serviço distribuída (DDoS) e outras ofensivas. Para ele, o episódio expõe o mau estado da infraestrutura da web, com incentivo a implantar rápido e negligenciar manutenção.
Impacto na prática
Na prática, a falha pode interromper o acesso a serviços digitais que dependem de PHP — de portais de governo a sistemas como WordPress —, como sugerem as quedas preventivas na Europa e na Oceania. Em tese, quem depende desses sites para informação pública ou identidade digital pode enfrentar indisponibilidade temporária enquanto as correções avançam.
Nos Países Baixos, por exemplo, a suspensão do serviço de identidade digital e de páginas do Parlamento e do centro de cibersegurança ilustra como o fato pode afetar rotinas na web oficial. Especialistas citados pelo Guardian sugerem ainda o risco de exploração automatizada — hipótese, não previsão certeira.
Se a “corrida” entre correção e exploração descrita pelos especialistas se confirmar, o episódio pode prolongar o período em que sites pouco atualizados permanecem expostos após o patch oficial — cenário que Woodward associa a semanas ou meses de pressão sobre a web em PHP.
Fontes: The Guardian – Flaw in PHP computer language leads to shutdown of websites around world
Leia mais em: mundodosnegocio.com.br