Uma inteligência artificial encontrou falhas que passaram despercebidas por mais de uma década no PHP, linguagem que sustenta cerca de 77% dos sites com servidor conhecido. O resultado: tribunais brasileiros, a Anatel, a Wikipédia, a BBC e governos de pelo menos oito países tiraram plataformas do ar em questão de horas.
A descoberta, anunciada na quarta-feira (21), provocou alertas de emergência da NSA americana, do centro de segurança cibernética do Reino Unido e da primeira-ministra do Japão. A corrida agora é contra o tempo: especialistas estimam que milhões de sites seguem expostos enquanto operadores aplicam o patch.
O que torna esta vulnerabilidade diferente das demais
Não é apenas a escala. A falha permite que invasores assumam controle total do servidor sem precisar de autenticação — um “caminho direto” para bancos de dados, segundo a NSA. O que assusta os especialistas é a combinação de três fatores:
- Tempo de exposição: o código vulnerável existe desde os anos 2000
- Ubiquidade: WordPress, Wikipedia, e-commerce, portais governamentais
- Velocidade de weaponização: a IA que encontrou a falha pode gerar exploits em minutos
Paul Spain, da Gorilla Cyber Security, resume: “Estamos falando de uma superfície de ataque que abrange desde blogs pessoais até infraestrutura crítica”.
O papel da IA: caçadora e potencial arma
Pesquisadores das empresas Calif e Wiz utilizaram modelos avançados de IA para varrer o código-fonte do PHP. O que levaria anos de revisão manual foi identificado em dias. A OpenAI, cuja tecnologia participou do processo, classificou o achado como “um dos problemas de segurança mais impactantes da história recente”.
Mas a mesma capacidade que expôs a falha pode acelerar sua exploração. Salil Kanhere, da UNSW Sydney, alerta: “Detalhes técnicos vazaram esta semana. Nas próximas semanas veremos tentativas massivas de exploração automatizada”.
Setores mais atingidos até agora
O impacto não foi uniforme. Organizações com equipes de segurança maduras aplicaram correções em horas. Outras, especialmente menores, enfrentam dilemas:
- Governo e judiciário: Tribunais brasileiros e Anatel suspenderam sistemas; Finlândia, Escócia e Japão ordenaram verificação emergencial
- Educação e mídia: Universidade de Genebra, BBC, prefeitura de Edimburgo desativaram portais preventivamente
- Tecnologia: Amazon confirmou tentativas de ataque antes da divulgação pública — sugerindo vazamento prévio
A Wikimedia Foundation desativou vários sistemas da Wikipédia como precaução. “Preferimos indisponibilidade temporária a risco de comprometimento”, informou a entidade.
O que os operadores devem fazer agora
A correção técnica é, na maioria dos casos, uma atualização de rotina. O PHP já lançou versões patcheadas (8.1.31, 8.2.26 e 8.3.14). Mas a janela de segurança fechando exige priorização:
- Identificar todos os ativos rodando PHP — incluindo servidores legados e ambientes de staging
- Aplicar o patch hoje; se impossível, desligar o serviço temporariamente (recomendação direta da NSA e da primeira-ministra japonesa)
- Verificar logs em busca de acessos anômalos nas últimas semanas
- Procurar “portas traseiras” instaladas antes do patch — orientação do centro de segurança britânico
Ryan Ko, da Universidade de Queensland, contextualiza: “Muitas falhas decorrem de uma era em que funcionalidade prevalecia sobre segurança. O PHP não é exceção”.
E depois do patch? O que observar nas próximas semanas
A aplicação da correção não encerra o ciclo. Kanhere recomenda “maior atenção” por pelo menos 30 dias: monitorar tentativas de login suspeitas, tráfego de saída anômalo e campanhas de phishing que usem o incidente como isca — já relatadas por múltiplas equipes de resposta a incidentes.
Para o empresário ou investidor, a lição vai além do PHP: a IA reduziu drasticamente o tempo entre a existência de uma falha e sua descoberta. O mesmo vale para sua exploração. Organizações sem processo contínuo de varredura automatizada e gestão de superfície de ataque estarão, daqui para frente, permanentemente um passo atrás.
