Risco de invasão por falhas em linguagem de programação usada por 70% dos sites leva países a suspender serviços 

Governos e empresas de diferentes países suspenderam milhares de sites nesta quinta-feira, 22, após a identificação de duas vulnerabilidades críticas na linguagem de programação PHP, utilizada em aproximadamente 70% dos sites da internet. As falhas receberam pontuação 9,2 na escala CVSS, que classifica a gravidade de problemas de segurança digital de zero a dez, e podem permitir invasões, além de possibilitar o acesso a sistemas internos e bancos de dados.

A Fundação PHP disponibilizou uma correção para os problemas. Enquanto isso, autoridades de segurança cibernética orientam as organizações a atualizar os sistemas imediatamente. Nos casos em que a aplicação das correções não puder ser realizada de forma imediata, a recomendação é avaliar a restrição temporária do acesso público às aplicações vulneráveis.

A linguagem PHP é utilizada no processamento de informações nos servidores e na execução de funcionalidades como cadastros, autenticações de usuários, pagamentos e consultas em sites e lojas virtuais. A tecnologia também é empregada por plataformas como o WordPress, que permite a criação e a administração de páginas na internet, e o Drupal, sistema de gerenciamento de conteúdo de código aberto. A ampla utilização da linguagem levou autoridades de diferentes países a emitirem alertas sobre os riscos identificados.

As vulnerabilidades, conhecidas conjuntamente como PHP2Shell, foram descobertas por equipes da OpenAI, da Wiz, empresa de segurança cibernética pertencente ao Google, e de outra companhia do setor, a Calif. Os problemas estavam presentes no software havia anos e foram identificados com o auxílio de inteligência artificial. Caso exploradas, as falhas poderiam permitir que invasores acessassem sites e lessem informações armazenadas na memória dos sistemas, incluindo dados confidenciais, como senhas.

A Agência de Segurança Nacional dos Estados Unidos e a agência europeia de cibersegurança recomendaram que as organizações adotassem providências imediatas. Bélgica, Finlândia, França e Alemanha também implementaram medidas preventivas para reduzir os riscos relacionados às vulnerabilidades.

No Brasil, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) divulgou um alerta orientando as instituições a identificar os sistemas que utilizam PHP e instalar as correções disponibilizadas. Se a atualização não puder ser feita imediatamente, o órgão recomenda considerar a limitação temporária do acesso público às aplicações vulneráveis.

No Reino Unido, quase 30 serviços governamentais estão indisponíveis, enquanto outros quatro apresentam funcionamento parcial durante a implementação de atualizações de segurança. A informação foi apresentada pela ministra do governo Elizabeth Lloyd à Câmara dos Lordes. “Nenhum serviço crítico de grande porte voltado ao público está sendo afetado pelo processo, mas alguns serviços limitados podem ficar temporariamente offline enquanto o trabalho de segurança é realizado”, afirmou um porta-voz do governo britânico a jornalistas.

Na Holanda, o governo confirmou a suspensão preventiva de portais como o DigiD, utilizado pelos cidadãos para acessar serviços digitais do Estado. Interrupções emergenciais em serviços bancários, aéreos, ferroviários, fiscais e governamentais, de Tóquio a Helsinque, ocorreram em meio às medidas de proteção contra as falhas. O episódio também evidenciou a dependência de governos e empresas em relação a códigos de programação desenvolvidos há décadas e que sustentam o funcionamento da internet, mas cujo funcionamento detalhado é compreendido por um número restrito de pessoas.

“Não vejo nada parecido com isso há muito, muito tempo”, declarou o presidente-executivo da Microsoft, Satya Nadella, durante um evento na Alemanha nesta quinta-feira. Ao comentar o incidente, ele destacou a importância de desenvolver softwares que possam ser mantidos com segurança à medida que os sistemas se tornam mais complexos.

A empresa de infraestrutura e segurança digital Cloudflare informou ter detectado milhares de tentativas de exploração das vulnerabilidades. Apesar do aumento das ocorrências, a companhia afirmou que, até o momento, não identificou sinais de um ataque cibernético em massa.

“Nas 10 horas antes do anúncio público, observamos milhares de tentativas de exploração em toda a rede”, afirmou o presidente-executivo da Cloudflare, Matthew Prince, em uma publicação na rede social X, na noite de quarta-feira. “Esse número saltou para dezenas de milhares nos 45 minutos após o anúncio, centenas de milhares em duas horas e, agora, milhões.”

Madeline Lawrence, cofundadora da empresa belga de segurança cibernética Aikido Security, afirmou que as informações sobre as falhas foram divulgadas antes de as correções estarem prontas. Segundo ela, ataques passaram a ser relatados após a publicação dos detalhes das vulnerabilidades. “As empresas estão correndo para se atualizar contra invasores que podem usar IA para explorá-las. Essa é toda a corrida”, declarou.

A abrangência do PHP também foi apontada como um fator de exposição para serviços que processam transações financeiras e armazenam informações de usuários. “Com o PHP por trás de uma parcela tão vasta da web, a exposição poderia alcançar praticamente todos os lugares onde as pessoas gastam dinheiro online”, afirmou Nigel Green, CEO do deVere Group, empresa de consultoria financeira. “Plataformas de reservas, marketplaces, serviços de assinatura, sites de venda de ingressos, aplicativos de entrega e portais de serviços públicos podem estar armazenando dados de cartão em sistemas construídos com o mesmo tipo de código”, acrescentou.