Falha no PHP derruba sites após 2 anos sem solução; responsável aponta falta de recursos
Thiago Ayub e a Fundação PHP aparecem no centro do babado técnico desta semana, depois que uma falha de segurança cuja existência foi sinalizada em 2024 levou governos e empresas a tirar sites do ar desde quarta (21), segundo comunicados oficiais. A própria Fundação PHP confirmou que os primeiros sinais do problema foram detectados durante uma auditoria externa feita pela empresa francesa Quarkslab em 2024, e atribuiu o atraso na correção à falta de recursos e a dificuldades de decisão na equipe de segurança. A notícia ganhou contornos maiores quando pesquisadores independentes reportaram novas formas de exploração.
O especialista em telecomunicações Thiago Ayub, diretor de tecnologia da Sage Networks, chama atenção para a dimensão do risco ao lembrar que rankings públicos apontam o PHP como linguagem usada em cerca de 70% dos sites. Entre as plataformas que dependem do software estão serviços conhecidos como Facebook, Wikipedia e WordPress, além do Moodle e do Magento, o que explica a precaução tomada por autoridades e empresas.
Desde quarta (21) governos e companhias de diferentes países optaram por retirar sites do ar por precaução, e no Brasil a Anatel e tribunais suspenderam temporariamente o acesso ao Sistema Eletrônico de Informações (SEI). A Fundação PHP informou que uma atualização corretiva já está disponível, e até o momento não há relatos de grandes impactos no país.
Como a falha foi descoberta e quem achou o problema
A origem dos sinais está documentada em uma auditoria externa da Quarkslab realizada em 2024. Depois disso, outras empresas de segurança também identificaram vulnerabilidades de forma independente. A Calif e a OpenAI relataram descobertas em agosto deste ano, enquanto a empresa de segurança na nuvem Wiz informou ter encontrado novas maneiras de explorar as mesmas falhas.
A Wiz afirmou que as descobertas estão entre as vulnerabilidades mais graves já encontradas no PHP e, por isso, elevaram o nível de alerta global. Para identificar explorações sofisticadas, a Wiz disse ter usado modelos de inteligência artificial, incluindo Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI. Essas contribuições ajudaram a mapear vetores de ataque complexos que podem permitir controle de servidores sem necessidade de login ou senha.
No Brasil, a preocupação foi imediata em órgãos que dependem de sistemas eletrônicos para processos administrativos. A suspensão do acesso ao SEI por parte de tribunais e da Anatel é medida preventiva citada pela própria fonte, e até agora não houve notificação pública de incidentes de grande escala que afetem serviços essenciais no país.
Por que a correção demorou, quem ficou sobrecarregado e o papel da IA
A Fundação PHP divulgou que o trabalho de correção foi interrompido e retomado diversas vezes ao longo dos meses seguintes à auditoria. A entidade listou três motivos principais para o atraso: dificuldades no processo de decisão da equipe de segurança, ausência naquele momento de uma forma conhecida de explorar a falha para executar comandos remotamente, e a sobrecarga dos poucos desenvolvedores com conhecimento profundo do funcionamento do PHP.
A nota da fundação também chama atenção para a dependência da segurança do PHP em um pequeno grupo de desenvolvedores, que recebem financiamento por meio de fundações ou trabalham como voluntários. Esse arranjo foi citado como um fator que limita a velocidade de resposta a falhas críticas quando surgem lacunas complexas no código.
Sobre o uso de inteligência artificial, a Fundação PHP declarou empregar ferramentas como o Claude Mythos para analisar código, validar relatórios e avaliar relatos de falhas. Segundo a entidade, essas ferramentas aceleram a identificação de problemas, mas não substituem o julgamento humano em decisões de engenharia, porque não conseguem, isoladamente, determinar a melhor estrutura para uma correção que preserve compatibilidade e segurança.
Paralelamente, empresas externas como a OpenAI e a Wiz utilizaram modelos avançados para descobrir novas formas de exploração. A OpenAI e a Calif reportaram vulnerabilidades em agosto deste ano, e a Wiz informou descobertas adicionais que, na avaliação da própria empresa, colocam essas falhas entre as mais graves já vistas no software.
Em comunicado, a Wiz descreveu a complexidade do caso e explicou que tecnologias de IA foram fundamentais para desvendar vetores de ataque que, sem esse apoio, permaneceriam ocultos por mais tempo. A confluência de auditorias, relatórios independentes e investigações apoiadas por IA levou à compilação das informações que motivaram a atualização divulgada pela fundação.
Para quem administra sites e servidores a orientação é clara nas fontes: aplicar a atualização disponibilizada o quanto antes. A falha permite, segundo as descrições técnicas citadas nas comunicações das empresas de segurança, que criminosos possam assumir o controle de servidores sem necessidade de autenticação tradicional.
O panorama formal divulgado inclui o reconhecimento da Fundação PHP sobre os limites de recursos humanos e financeiros na manutenção da segurança do projeto, a participação de auditorias externas como a da Quarkslab ainda em 2024, os relatos públicos de Calif e OpenAI em agosto, e as descobertas complementares da Wiz com apoio de modelos Gemini 4 Argon e GPT-5.6 Sol.
O desdobramento mais prático e verificável até agora é a disponibilidade de uma atualização corretiva por parte da Fundação, a retirada preventiva de serviços por autoridades desde quarta (21) e a confirmação de que, no Brasil, não há até o momento relatos de impactos em larga escala. A informação oficial sobre a origem das descobertas e os responsáveis pelas análises consta nas notas públicas das empresas mencionadas.
Crédito da imagem: O que é PHP e a falha grave de segurança detectada por IA que tirou sites do ar
Fonte da notícia: G1
