Falha de segurança no PHP expõe obstáculos na correção de vulnerabilidades críticas

Uma vulnerabilidade grave na linguagem de programação PHP, responsável por criar a base de grande parte dos sites na internet, voltou à tona após ser descoberta há dois anos por uma inteligência artificial. Segundo a Fundação PHP, responsável pelo desenvolvimento e manutenção da linguagem, os primeiros sinais de uma falha de segurança que levou à retirada preventiva de diversos sites do ar pelo mundo foram detectados em 2024. Ainda não há confirmação oficial de que todos os sites afetados tenham sido recuperados ou totalmente protegidos, mas a questão chamou atenção para os obstáculos enfrentados na implementação de correções eficazes.

A fundação, que controla o desenvolvimento do PHP, explicou por meio de nota que o atraso na resolução do problema se deve a três fatores principais: dificuldades na tomada de decisão pelos equipe de segurança, ausência de uma forma conhecida de explorar a falha de modo a executar comandos remotamente, e uma sobrecarga de desenvolvedores qualificados. Segundo o documento, o trabalho de correção foi interrompido e retomado várias vezes ao longo de meses devido a esses obstáculos. Ainda segundo a entidade, a segurança do PHP depende de um pequeno grupo de desenvolvedores voluntários financiados por fundações, além de contribuições pontuais de outros especialistas.

Para ajudar na identificação de problemas, a Fundação PHP passou a utilizar ferramentas de inteligência artificial, como o sistema Claude Mythos, para analisar códigos e validar relatos de vulnerabilidades. Apesar de esses recursos acelerarem a detecção de falhas, eles ainda não são capazes de determinar com precisão a melhor estratégia de correção. A vulnerabilidade, que foi classificada como uma das mais graves na história do PHP por empresas de segurança na nuvem, foi também descoberta independentemente pela Calif e pela OpenAI, dona do ChatGPT, ambas em agosto deste ano. Uma outra companhia, a Wiz, informou que encontrou novas formas de explorar a falha, reforçando a gravidade do problema.

Segundo especialistas, o PHP é usado em cerca de 70% dos sites na internet, incluindo plataformas como Facebook, Wikipedia, WordPress e Moodle, além de lojas virtuais que usam Magento. Thiago Ayub, diretor de tecnologia da Sage Networks, afirmou que, "se essas vulnerabilidades não forem resolvidas rapidamente, os sites podem estar expostos a invasões, com riscos elevados de comprometimento de informações e controle de servidores". Contudo, o próprio governo brasileiro, por precaução, suspendeu o acesso ao Sistema Eletrônico de Informações (SEI), utilizado para gerenciar processos administrativos, embora ainda não haja relatos de impactos severos no país. A situação ainda é considerada de monitoramento, e o que se sabe até o momento é que empresas e governos ao redor do mundo continuam atentos às evoluções dessa crise no setor de tecnologia.