Duas vulnerabilidades críticas na linguagem de programação PHP levaram governos e empresas a retirar sites do ar para evitar possíveis ataques. As falhas receberam nota 9,2 de dez em escala internacional de gravidade e podem permitir que invasores executem comandos remotamente em servidores vulneráveis, sem precisar de senha ou conta.
Continua após a publicidade
Os desenvolvedores do PHP lançaram atualizações para corrigir os problemas nesta quarta-feira (21). A recomendação de autoridades de segurança é instalar as correções imediatamente ou, caso isso não seja possível, isolar os sistemas vulneráveis da internet até que possam ser protegidos.
Uma das vulnerabilidades chama a atenção por ter sido identificada inicialmente em 2024. Segundo a Fundação PHP, o atraso na correção refletiu falha estrutural no processo. A divulgação das atualizações aumentou a preocupação de especialistas com a possibilidade de invasores analisarem as correções para descobrir como explorar sistemas que ainda não foram atualizados.
Por que uma falha no PHP ameaça tantos sites?
- O PHP é uma linguagem de programação executada nos servidores para processar comandos e gerar o conteúdo exibido nos sites. Gratuito e de código aberto, o sistema está presente em quase 70% dos sites cuja linguagem de programação pode ser identificada;
- A tecnologia também está por trás do WordPress, plataforma utilizada em cerca de 40% dos sites da internet, incluindo páginas de pequenas empresas, portais governamentais, lojas virtuais e veículos de comunicação;
- Essa presença disseminada amplia o alcance potencial das vulnerabilidades. Uma falha explorável na linguagem pode colocar diferentes serviços em risco ao mesmo tempo, inclusive sites cujos responsáveis nem sequer sabem que precisam administrar uma instalação de PHP;
- De acordo com o CERT-EU, equipe de resposta a incidentes de segurança cibernética da União Europeia (UE), as vulnerabilidades permitem a execução remota de código sem autenticação. Na prática, um invasor pode enviar comandos a um servidor vulnerável pela internet sem precisar entrar em uma conta legítima;
- A exploração pode resultar em roubo de dados, alteração do conteúdo de páginas ou comprometimento completo do sistema. O diretor de tecnologia da Cloudflare relatou o aparecimento dos primeiros ataques.
Correções já foram liberadas
Os desenvolvedores do PHP disponibilizaram quatro atualizações para corrigir as duas vulnerabilidades críticas. A Fundação PHP recomendou que os usuários atualizem seus sistemas imediatamente.
A fundação reconheceu que uma das falhas havia sido identificada por um pesquisador em 2024. A entidade classificou o atraso na correção como um problema estrutural.
A Agência de Segurança Nacional dos Estados Unidos (NSA) alertou que vulnerabilidades desse tipo podem abrir caminho para arquivos e bancos de dados dos servidores. Se não for possível aplicar uma atualização imediatamente, a orientação é retirar os sistemas afetados do ar.
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA), por sua vez, recomendou a atualização imediata das instalações do PHP. Até a publicação da reportagem da Reuters, a agência afirmou não ter observado exploração das vulnerabilidades, embora tenha alertado para os riscos de manter os sistemas desprotegidos.
Leia mais:
- Booking.com vira alvo da União Europeia por anúncios e golpes falsos
- IA da OpenAI desativou mecanismos de segurança e negou ter feito isso
- Projeto da Anthropic prevê bloqueio de IA diante de riscos catastróficos
Plataformas de proteção como a Cloudflare já identificam os primeiros ataques direcionados a servidores PHP – Imagem: R.Narong/Shutterstock
Como as empresas podem reduzir os riscos
Para Don Smith, vice-presidente de Inteligência de Ameaças da Sophos Counter Threat Unit (CTU), o primeiro desafio das organizações é descobrir onde o PHP está sendo executado.
“O desafio imediato não é apenas instalar uma correção, mas identificar e gerenciar todas as instâncias em que o PHP está em execução”, afirmou Smith.
Segundo o especialista, a linguagem pode estar presente em sites públicos, sistemas de gerenciamento de conteúdo, plataformas de hospedagem e produtos de terceiros. Em alguns casos, essa presença não é evidente para a própria organização responsável pela infraestrutura.
Continua após a publicidade
Smith recomenda que as equipes de segurança adotem algumas medidas prioritárias:
- Mapear as instalações de PHP: identificar todos os sistemas e serviços que utilizam a linguagem, inclusive componentes de terceiros;
- Priorizar os serviços expostos à internet: verificar primeiro quais servidores podem ser acessados externamente e confirmar as versões afetadas com base nos comunicados oficiais de segurança;
- Aplicar as atualizações sem demora: corrigir os sistemas vulneráveis assim que as versões correspondentes estiverem disponíveis;
- Isolar sistemas sem correção: retirar da internet qualquer instalação vulnerável que não possa ser atualizada, até que sua segurança possa ser garantida;
- Monitorar sinais de invasão: acompanhar os processos do PHP e dos servidores web em busca de atividades incomuns, execução inesperada de comandos ou outros indícios de comprometimento.
Continua após a publicidade
O executivo também alertou para a velocidade com que agentes maliciosos podem agir, inclusive com auxílio de inteligência artificial (IA). Na avaliação dele, as vulnerabilidades podem se tornar alvos prioritários nas horas e nos dias seguintes à divulgação das correções.
Por isso, Smith recomenda que as organizações não se limitem à instalação das atualizações: também devem verificar se algum invasor já conseguiu acessar o ambiente antes da aplicação dos reparos.
Como as falhas foram descobertas
Pesquisadores da empresa de segurança Calif, em colaboração com a OpenAI, relataram uma das vulnerabilidades aos desenvolvedores do PHP em 11 de agosto, após identificá-la com auxílio do modelo GPT-5.6 Sol.
A Wiz, empresa de segurança ligada à Alphabet (controladora do Google), identificou os problemas de forma independente e comunicou uma segunda falha em 24 de agosto, também com o uso de modelos de IA.
Continua após a publicidade
A descoberta evidenciou como ferramentas de IA podem ajudar pesquisadores a encontrar vulnerabilidades em softwares amplamente utilizados. Ao mesmo tempo, a possibilidade de invasores analisarem as correções reforça a urgência de atualizar os sistemas afetados e monitorar atividades suspeitas.
Rodrigo Mozelli
Rodrigo Mozelli é jornalista formado pela Universidade Metodista de São Paulo (UMESP) e, atualmente, é redator do Olhar Digital.
Ver todos os artigos →
Tags: PHP Segurança
