PHP, usado em 70% dos sites do planeta, tem falha que derrubou serviços até no Brasil

Uma brecha de segurança no PHP, linguagem de programação presente em boa parte da internet, tirou sites e plataformas do ar na quarta-feira (21). No Brasil, o problema interrompeu serviços digitais do governo federal.

O impacto é amplo porque o PHP sustenta cerca de 70% dos sites do planeta, entre eles o Word Press, ferramenta usada para publicar e gerenciar páginas. Houve plataformas afetadas em países como Inglaterra, Irlanda, França e Holanda.

Governo federal manda desligar sistemas em PHP

O Ministério da Gestão e da Inovação em Serviços Públicos confirmou ter disparado um alerta a todas as unidades de tecnologia do governo federal pelo Ctir Gov (Centro de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos do Governo Federal).

A ordem era tirar do ar, de forma temporária, qualquer sistema feito em PHP e bloquear o acesso externo.

Entre os serviços derrubados estava o SEI (Sistema Eletrônico de Informações), usado pela administração federal para produzir e gerir documentos e processos eletrônicos. O ministério informou que a suspensão foi preventiva. Enquanto isso, pedidos urgentes envolvendo documentos devem seguir pelo GOVBR ou por e-mail.

Segundo a pasta, o GOVBR não sofreu impacto, e a dimensão do problema ainda está sendo medida. “As equipes de segurança cibernética do Governo Federal estão avaliando os efeitos da correção em todos os sistemas afetados e trabalhando para garantir a atualização e a disponibilidade de todos os sistemas”, afirmou o ministério.

Anatel ficou quase dez horas sem o SEI

A Fundação PHP, entidade que mantém a linguagem, liberou uma correção na própria quarta-feira e pediu que os responsáveis por sites com o sistema instalassem a atualização imediatamente. O ministério, depois da paralisação, também recomendou migrar para a versão corrigida.

Em resposta à CNN Brasil, a Anatel (Agência Nacional de Telecomunicações) contou que desligou o SEI na quarta-feira, entre 12h15 e 22h05 (horário de Brasília), para aplicar o reparo. A agência classificou a decisão como “estritamente preventiva e alinhada a recomendações internacionais” e disse que nenhuma invasão foi registrada. Com a correção feita, o SEI da Anatel voltou a funcionar normalmente.

Reino Unido, Europa e Japão também tiraram serviços do ar

Assim que a vulnerabilidade veio a público, operadores de plataformas em vários países correram para atualizar seus sistemas. No Reino Unido, a ministra Elizabeth Lloyd declarou na quinta-feira, na Câmara dos Lordes, que quase três dezenas de serviços do governo britânico saíram do ar e outros quatro ficaram “parcialmente indisponíveis” durante o processo.

Na Irlanda, o The Journal, segundo site de notícias mais acessado do país, parou de funcionar. Páginas oficiais da França, Dinamarca, Finlândia e Holanda, incluindo a da agência holandesa de segurança cibernética, também foram desativadas enquanto recebiam os ajustes.

A Agência de Segurança Nacional dos Estados Unidos e a agência europeia de cibersegurança orientaram empresas a agir sem demora. O primeiro-ministro holandês, Rob Jetten, disse que seu gabinete estava “monitorando de perto a situação em torno das vulnerabilidades do PHP”.

No Japão, a primeira-ministra Sanae Takaichi defendeu que empresas avaliem suspender serviços, se preciso, para diminuir a exposição. A companhia aérea ANA, a ferroviária JR West e o MUFG, maior banco do país, relataram ter interrompido temporariamente páginas e serviços online.

IA ajudou a encontrar o PHP2Shell

As falhas foram identificadas por equipes da OpenAI, da Wiz, empresa de cibersegurança que pertence ao Google, e da Calif, também do setor de cibersegurança. Batizados de PHP2Shell, os bugs abriam caminho para que criminosos entrassem nos sites e vasculhassem a memória deles, onde podiam estar senhas e dados confidenciais.

De acordo com a Reuters, uma empresa de computação em nuvem registrou milhões de tentativas de invasão explorando a brecha.

Ouvido pela CNN Internacional, Nigel Green, CEO da consultoria financeira de Vere Group, dimensionou o risco: “Com o PHP por trás de uma parcela tão vasta da web, a exposição poderia alcançar praticamente todos os lugares onde as pessoas gastam dinheiro online”.

E completou: “Plataformas de reservas, marketplaces, serviços de assinatura, sites de venda de ingressos, aplicativos de entrega e portais de serviços públicos podem estar armazenando dados de cartão em sistemas construídos com o mesmo tipo de código”.

Em texto publicado em blog na quarta-feira, pesquisadores da Wiz chamaram o PHP de “espinha dorsal da web”. Para os especialistas, a inteligência artificial foi decisiva para localizar e corrigir vulnerabilidades “que permaneceram ocultas no código-fonte do PHP por mais de uma década”.