IA revela falhas no PHP e provoca corrida global por correção de segurança
IA trouxe à luz vulnerabilidades antigas no PHP e levou governos e agências a pedir correção emergencial ou retirada de sites do ar.
Foto: Yaroslav Shuraev (Pexels)
Por mais de uma década, falhas graves passaram despercebidas em uma tecnologia que sustenta grande parte da internet. Foi a inteligência artificial (IA) que as trouxe à luz e desencadeou um alerta global de cibersegurança, segundo a BBC nesta quinta-feira (22).
As vulnerabilidades estão na linguagem de programação PHP — sigla de PHP: Hypertext Preprocessor —, usada internacionalmente desde os anos 2000 para construir sites. Governos e agências de segurança digital correram, na quarta-feira (21), para conter os efeitos da descoberta e pediram que operadores instalassem uma correção emergencial ou considerassem tirar plataformas do ar.
A empresa de cibersegurança Wiz — uma das que ajudaram a descobrir as falhas — classificou-as como as “mais graves” já detectadas por IA. A OpenAI, cuja tecnologia foi usada na busca, chamou o achado de “uma das questões de segurança de maior impacto da memória recente”.
O que aconteceu
Muita gente pode nunca ter ouvido falar de PHP, mas interage com a linguagem no dia a dia. Ela impulsiona um grande número de plataformas, incluindo lojas online, a Wikipédia e o WordPress — sistema de gestão de conteúdo por trás de muitos blogs e sites. Paul Spain, diretor-executivo da Gorilla Cyber Security, explicou à BBC que, ao visitar um site como a Wikipédia, o PHP é o código que reúne a informação necessária e a apresenta de forma legível na web.
Por causa de uma falha que poderia permitir a atacantes assumir o controle de servidores web afetados sem autenticação e roubar dados sensíveis, tudo construído sobre PHP ficou exposto. Spain estimou que a falha poderia atingir “milhões e milhões” de sites e afirmou que a IA poderia tornar esses ataques mais fáceis e rápidos. A pesquisadora Jill Slay, da Universidade de Adelaide, disse que seria “desastroso” se hackers ou países instrumentalizassem a falha e se apoderassem de dados privados.
O alerta interrompeu serviços em escala global — de plataformas de jogos a portais governamentais e fóruns online. A Wikimedia, organização por trás da Wikipédia, derrubou vários de seus sistemas por precaução. Sites e páginas saíram do ar por decisão do governo finlandês, do conselho de Edimburgo e da própria BBC; a agência de cibersegurança dos Países Baixos também retirou seu site. A Universidade de Genebra e organizações públicas da Escócia, incluindo conselhos e órgãos de saúde, também tiraram páginas do ar.
Na quarta-feira, os desenvolvedores da plataforma PHP lançaram correções para vulnerabilidades que estavam no software há anos e afirmaram que “todos os usuários de PHP são fortemente incentivados a atualizar imediatamente”. A Agência de Segurança Nacional dos Estados Unidos (NSA, na sigla em inglês) orientou organizações que usam PHP a tirar sistemas do ar se não pudessem aplicar o remendo de imediato, e disse que a falha poderia oferecer um “caminho direto” para explorar o banco de dados de um sistema. O Centro Nacional de Cibersegurança do Reino Unido pediu que organizações verificassem “portas dos fundos instaladas por um invasor”. Contrapartes na União Europeia e na Austrália também emitiram alertas.
A primeira-ministra do Japão, Sanae Takaichi, pediu em mensagem na rede X que se verificasse se sites públicos rodavam em PHP e disse que, se for difícil aplicar o remendo com rapidez, suspender temporariamente os sites pode reduzir o risco. As vulnerabilidades foram encontradas por pesquisadores das empresas Calif e Wiz, com ferramentas avançadas de IA capazes de analisar código mais rápido do que humanos ou sistemas mais antigos. Detalhes da descoberta vazaram online nesta semana, forçando o anúncio acelerado da falha. Em postagem no blog, a OpenAI afirmou que o episódio destaca como a IA pode descobrir falhas de segurança, mas também ajudar atacantes a desenvolver ferramentas ofensivas.
Impacto na prática
Na prática, o episódio pode afetar o acesso a serviços digitais quando operadores preferem tirar sites do ar a correr risco — como sugerem os casos de portais públicos, fóruns, plataformas de jogos e páginas da Wikimedia. Em tese, quem depende desses serviços pode enfrentar interrupções temporárias, enquanto sites mal mantidos, sobretudo de organizações menores com poucos recursos de segurança, podem ficar mais expostos, segundo especialistas citados pela BBC.
No Japão, o pedido público da primeira-ministra Takaichi ilustra, em hipótese, como um país pode mobilizar gestores de sites públicos diante do risco. O pesquisador Salil Kanhere, da UNSW Sydney, disse que mais tentativas de exploração dessas falhas são prováveis nas próximas semanas, já que os detalhes técnicos estão sendo tornados públicos, e alertou para mensagens de phishing que explorem a repercussão do caso.
Se a corrida por correções e a vigilância pedida por agências se mantiverem nas próximas semanas, o episódio pode marcar um ponto de inflexão na forma como a IA passa a acelerar a descoberta e a exploração de falhas antigas na infraestrutura da web — sem garantir que todos os operadores consigam reagir no mesmo ritmo.
Fontes: BBC News; Wikipédia — PHP; Wikipédia — Inteligência artificial; Wikipédia — OpenAI; Wikipédia — Agência de Segurança Nacional
Leia mais em: mundodosnegocio.com.br