Brecha no PHP que tirou sites do ar foi descoberta há dois anos; responsável cita falta de recursos para corrigi-la

A Fundação PHP, responsável pela linguagem de programação PHP, confirmou que os primeiros sinais da falha de segurança que causou a retirada preventiva de sites do ar em diversos países foram identificados em 2024.

Em nota, a entidade atribuiu o atraso na correção da vulnerabilidade à falta de recursos e às dificuldades no processo de decisão da equipe de segurança.

Desde quarta-feira (21), governos e empresas de diferentes países retiraram sites do ar para evitar invasões. As vulnerabilidades podem permitir que criminosos assumam o controle dos servidores que mantêm os sites funcionando, sem necessidade de login ou senha. Uma atualização para corrigir as falhas já está disponível.

No Brasil, a Agência Nacional de Telecomunicações (Anatel) e tribunais suspenderam, por precaução, o acesso ao Sistema Eletrônico de Informações (SEI), usado para gerenciar processos administrativos. Até o momento, não há relatos de grandes impactos no país.

O PHP é uma das linguagens de programação mais populares para criação de sites. O software de mesmo nome, gratuito e de código aberto, interpreta e executa o código escrito nessa linguagem. A tecnologia é usada em serviços como Facebook, Wikipedia e WordPress, além do Moodle, utilizado por instituições de ensino, e do Magento, voltado à criação de lojas virtuais.

Por que a correção demorou

Em comunicado publicado em seu site, a Fundação PHP informou que os primeiros sinais do problema foram identificados durante uma auditoria externa de segurança realizada pela empresa francesa de cibersegurança Quarkslab, em 2024.

O trabalho de correção foi interrompido e retomado várias vezes ao longo de meses. Segundo a entidade, o atraso ocorreu por três motivos:

• Dificuldades no processo de decisão da equipe de segurança;
• Ausência, naquele momento, de uma forma conhecida de explorar a falha para executar comandos remotamente;
• Sobrecarga dos poucos desenvolvedores com conhecimento profundo do funcionamento do PHP.

Na mesma nota, a fundação afirmou que a segurança do PHP ainda depende de um pequeno grupo de desenvolvedores financiados por fundações e de contribuições de voluntários.

A entidade também informou que utiliza ferramentas de inteligência artificial, como o Claude Mythos, para analisar códigos, validar e avaliar relatos de falhas de segurança. Essas ferramentas ajudam a identificar problemas mais rapidamente, mas, segundo a fundação, não conseguem decidir qual é a melhor forma de estruturar uma correção.

Embora a Fundação PHP já tivesse conhecimento das vulnerabilidades, elas também foram identificadas de forma independente pela empresa de segurança Calif e pela OpenAI, dona do ChatGPT, que as reportaram em agosto deste ano.

Posteriormente, a Wiz, empresa de segurança na nuvem, informou ter encontrado outras formas de explorar as falhas.

"Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software", afirmou a Wiz na quarta-feira (21).

A empresa disse ter usado os modelos de IA Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI, nesse trabalho.

"Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas [sem o uso da IA]", disse a Wiz.