A Fundação PHP informou que os primeiros sinais da falha de segurança que levou governos e empresas a retirar sites do ar foram identificados em 2024, durante uma auditoria externa. Segundo a entidade, a correção demorou por dificuldades na tomada de decisões, falta de uma forma conhecida de exploração remota e sobrecarga dos poucos desenvolvedores especializados na linguagem.
As vulnerabilidades podem permitir que invasores assumam o controle de servidores sem utilizar login ou senha. Uma atualização de segurança já foi disponibilizada, mas especialistas alertam que sites que não forem atualizados permanecem expostos.
No Brasil, a Agência Nacional de Telecomunicações (Anatel) e tribunais suspenderam preventivamente o acesso ao Sistema Eletrônico de Informações (SEI), usado na gestão de processos administrativos. Até o momento, não havia relatos de grandes impactos no país.
O PHP é uma linguagem de programação de código aberto usada na criação de sites e sistemas. A tecnologia está presente em serviços e plataformas como Facebook, Wikipedia, WordPress, Moodle e Magento.
De acordo com a Fundação PHP, a segurança do projeto ainda depende de um grupo reduzido de desenvolvedores financiados por fundações e de contribuições voluntárias. A entidade afirmou que utiliza ferramentas de inteligência artificial para analisar códigos e relatos de falhas, mas disse que esses sistemas não substituem a avaliação humana na definição da correção.
As vulnerabilidades também foram identificadas de forma independente pela empresa de segurança Calif e pela OpenAI, que as reportaram em agosto. Posteriormente, a empresa Wiz informou ter encontrado outras formas de exploração, ampliando a avaliação sobre a gravidade do problema.
O especialista em telecomunicações Thiago Ayub, diretor de tecnologia da Sage Networks, afirmou ao g1 que rankings públicos indicam a presença do PHP em cerca de 70% dos sites. A recomendação para administradores é instalar a atualização disponibilizada pelo projeto e verificar os sistemas que utilizam a linguagem.
Fonte: g1