A Fundação PHP informou que os primeiros sinais das vulnerabilidades que levaram governos e empresas a retirar sites do ar preventivamente foram identificados em 2024, durante uma auditoria de segurança. A entidade atribuiu a demora na correção à falta de recursos e a dificuldades na tomada de decisões da equipe responsável.
As falhas podem permitir que invasores assumam o controle de servidores sem usar login ou senha. Uma atualização de segurança já foi disponibilizada, e especialistas recomendam que sistemas baseados em PHP sejam atualizados rapidamente.
No Brasil, a Agência Nacional de Telecomunicações (Anatel) e tribunais suspenderam preventivamente o acesso ao Sistema Eletrônico de Informações (SEI), utilizado para administrar processos internos. Até o momento, não havia relatos de grandes impactos no país.
Segundo a Fundação PHP, o processo de correção foi interrompido e retomado várias vezes. Entre os fatores citados estão a ausência inicial de uma forma conhecida de exploração remota e a sobrecarga de um grupo reduzido de desenvolvedores com conhecimento profundo da linguagem.
O PHP é uma linguagem de programação de código aberto usada na criação de sites e sistemas. A tecnologia está presente em serviços como WordPress, Wikipedia, Moodle e Magento, além de ser empregada em plataformas de grande alcance.
As vulnerabilidades também foram relatadas de forma independente pela empresa de segurança Calif e pela OpenAI em agosto de 2026. Depois, a empresa Wiz informou ter identificado outras formas de exploração com auxílio de modelos de inteligência artificial.
A Fundação PHP afirmou que utiliza ferramentas de IA para analisar códigos e avaliar relatos de falhas, mas disse que esses sistemas ainda não conseguem decidir sozinhos qual é a melhor forma de estruturar uma correção. A entidade também declarou que a segurança do projeto depende de poucos desenvolvedores financiados por fundações e de contribuições voluntárias.
Fonte: g1