Vulnerabilidades críticas no PHP deixam sites governamentais europeus e brasileiros fora do ar

Na última quarta-feira, uma onda de interrupções afetou sites governamentais em toda a Europa, incluindo órgãos públicos brasileiros, devido à descoberta de duas vulnerabilidades críticas na linguagem de programação PHP. Segundo fontes ligadas ao setor de segurança cibernética, essas falhas foram identificadas como algumas das mais graves já encontradas no software e poderiam permitir a execução remota de comandos, ou seja, invasores poderiam controlar sistemas facilmente pela internet. O PHP é uma linguagem que funciona nos bastidores de sites, processando informações e enviando o conteúdo ao usuário, sendo responsável por aproximadamente 70% de todos os sites do mundo, incluindo plataformas populares como WordPress, que alimenta cerca de 40% da web. Ainda segundo as informações, as vulnerabilidades estavam presentes no software há anos de forma oculta, dificultando sua detecção.

O impacto potencial dessas falhas é grande: uma única vulnerabilidade pode permitir que invasores acessem, roubem dados, adulterem páginas ou comprometam completamente os servidores. Segundo o CERT-EU, órgão de resposta a incidentes na União Europeia, as vulnerabilidades receberam uma classificação de 9,2 em uma escala que vai até 10, indicando risco extremo. Especialistas explicam que o problema reside na capacidade de explorar o sistema sem precisar de senha ou de uma conta autenticada, o que facilita a ação de hackers à distância. Empresas de segurança, como a Calif e a Wiz, confirmaram que as falhas estavam presentes no código do PHP há décadas, mas só recentemente tiveram sua vulnerabilidade comprovada por técnicas avançadas, incluindo inteligência artificial.

Após a descoberta, operadores de sites e provedores de hospedagem, como a GoDaddy, tomaram medidas preventivas, suspendendo temporariamente os serviços afetados até que fosse publicada uma correção definitiva. No entanto, o Wordfence, plugin de segurança para WordPress, alertou que as atualizações automáticas do sistema não irão incluir essa correção, reforçando a necessidade de os proprietários de sites atualizarem manualmente seus sistemas. Pesquisadores também relataram que a primeira detecção da vulnerabilidade foi feita em 11 de agosto, usando o modelo GPT-5.6, tecnologia de inteligência artificial da OpenAI, e uma segunda vulnerabilidade foi identificada em 24 de agosto, indicando uma gravidade incomum na história do PHP.

Até o momento, o atual posicionamento oficial das autoridades de segurança é de recomendações cautelosas, incluindo a avaliação de tirar os sites vulneráveis do ar até que seja garantida a segurança total. Ainda não foi confirmado oficialmente se houve exploração maliciosa das vulnerabilidades, mas o risco de danos extensivos reforça a importância de atualizar prontamente o software e reforçar a segurança de sites e servidores que utilizam essa linguagem. A preocupação especial recai sobre sites de pequeno porte, geralmente administrados por proprietários sem equipes de segurança dedicadas, especialmente em hospedagens compartilhadas, onde o gerenciamento do sistema pode ficar ainda mais vulnerável. Assim, o episódio evidencia a necessidade de atenção contínua a questões de segurança na web e reforça as consequências de vulnerabilidades que permanecem por décadas sem correção. Praticamente, uma falha como essa abre uma porta para invasões em milhões de sistemas simultaneamente, tornando a segurança digital um desafio global que exige vigilância constante.