A Fundação PHP informou que os primeiros sinais da falha de segurança que levou governos e empresas a retirar sites do ar preventivamente foram identificados em 2024. A entidade atribuiu a demora na correção à falta de recursos e a dificuldades no processo de decisão da equipe responsável pela segurança.
As vulnerabilidades podem permitir que invasores assumam o controle de servidores sem precisar de login ou senha. Uma atualização para corrigir os problemas já está disponível, mas especialistas alertam que sites ainda desatualizados permanecem expostos.
No Brasil, a Agência Nacional de Telecomunicações (Anatel) e tribunais suspenderam preventivamente o acesso ao Sistema Eletrônico de Informações (SEI), usado para administrar processos. Até o momento, não foram relatados grandes impactos no país.
O PHP é uma linguagem de programação de código aberto usada na criação de sites e sistemas. A tecnologia está presente em serviços como Facebook, Wikipedia e WordPress, além de plataformas como Moodle e Magento.
Segundo comunicado da Fundação PHP, uma auditoria externa conduzida pela empresa francesa Quarkslab identificou os primeiros indícios do problema. A correção teria sido interrompida e retomada diversas vezes por causa de dificuldades de decisão, da ausência inicial de uma forma conhecida de exploração remota e da sobrecarga de poucos desenvolvedores com conhecimento profundo do sistema.
A fundação afirmou que a manutenção da segurança do PHP depende de um grupo pequeno de desenvolvedores financiados por fundações e de contribuições voluntárias. A entidade também disse que ferramentas de inteligência artificial ajudam a analisar códigos e relatos de falhas, mas não substituem a avaliação humana para definir a melhor forma de corrigir os problemas.
As vulnerabilidades também foram identificadas de forma independente pela empresa Calif e pela OpenAI, que as reportaram em agosto. Depois, a empresa de segurança em nuvem Wiz informou ter encontrado outras formas de exploração e classificou o episódio como um dos casos mais graves da história do PHP.
Fonte: g1