PHP2Shell: falha no PHP achada com ajuda de IA tira do ar sites de governos e empresas
Sites de governos e empresas em vários países saíram do ar por algum tempo na quinta-feira (22), e alguns serviços online foram suspensos. Operadores correm para atualizar sistemas depois que a inteligência artificial ajudou a identificar vulnerabilidades críticas no PHP, linguagem de programação amplamente usada na internet.
CONTINUA DEPOIS DA PUBLICIDADE
O PHP alimenta 70% de todos os sites do mundo, entre eles o Word Press e o Drupal, sistema de gerenciamento de conteúdo de código aberto. A Agência de Segurança Nacional dos EUA e a agência europeia de cibersegurança orientaram as empresas a agir imediatamente para corrigir as duas falhas.
A Fundação PHP, responsável pela linguagem, já lançou uma correção e pede que os operadores de sites atualizem seus sistemas sem demora.
CONTINUA DEPOIS DA PUBLICIDADE
Reino Unido tem quase três dezenas de serviços indisponíveis
No Reino Unido, quase três dezenas de serviços do governo ficaram indisponíveis e outros quatro aparecem como “parcialmente indisponíveis” durante as atualizações de segurança. A informação foi dada pela ministra Elizabeth Lloyd à Câmara dos Lordes.
“Nenhum serviço crítico de grande porte voltado ao público está sendo afetado pelo processo, mas alguns serviços limitados podem ficar temporariamente offline enquanto o trabalho de segurança é realizado”, afirmou um porta-voz do governo britânico a repórteres.
Na Irlanda, o site de notícias The Journal saiu do ar na manhã de quinta-feira para reforçar suas “defesas”, segundo comunicado. De acordo com o Instituto Reuters, o veículo é a segunda fonte de notícias online mais usada no país, atrás apenas da RTÉ, a emissora nacional.
Falhas no PHP podem expor senhas e dados de cartão
Batizados de PHP2Shell, os bugs foram descobertos por equipes da OpenAI, da empresa de cibersegurança Wiz, que pertence ao Google, e da Calif, outra empresa do setor. As brechas poderiam permitir que invasores acessassem sites e lessem a memória, onde podem estar informações confidenciais, como senhas.
Leia também
A sigla PHP significava originalmente Personal Home Page (Página Inicial Pessoal).
“Com o PHP por trás de uma parcela tão vasta da web, a exposição poderia alcançar praticamente todos os lugares onde as pessoas gastam dinheiro online”, disse Nigel Green, CEO do de Vere Group, empresa de consultoria financeira. “Plataformas de reservas, marketplaces, serviços de assinatura, sites de venda de ingressos, aplicativos de entrega e portais de serviços públicos podem estar armazenando dados de cartão em sistemas construídos com o mesmo tipo de código”, completou.
A Cloudflare, provedora de infraestrutura web que tem trabalhado com a PHP Foundation, a Calif, a OpenAI e a Wiz, afirma que as falhas podem permitir a execução remota de código, a interrupção de serviços e a exposição de dados de clientes. Os erros foram encontrados no fim de agosto, mas só vieram a público na quarta-feira, depois que a correção ficou pronta.
Líderes do Japão e da Holanda pedem ação das empresas
Até chefes de governo entraram no assunto. O primeiro-ministro holandês, Rob Jetten, disse que seu gabinete estava “monitorando de perto a situação em torno das vulnerabilidades do PHP”.
Já a primeira-ministra do Japão, Sanae Takaichi, defendeu que as empresas avaliem suspender serviços, se necessário, para reduzir a exposição. “Por favor, verifiquem se seus sites públicos utilizam PHP e preparem-se para aplicar a correção que será lançada hoje à noite… o mais rápido possível”, publicou na quarta-feira.
No país, a companhia aérea ANA, a operadora ferroviária JR West e o MUFG, maior banco japonês, relataram a suspensão temporária de algumas páginas e serviços.
Na Europa, sites governamentais da França, Dinamarca, Finlândia e Holanda, incluindo o da agência holandesa de segurança cibernética, foram desativados temporariamente para receber as correções. A Fundação Wikimedia, que administra a Wikipédia, disse à CNN Internacional na quinta-feira que estava “em processo de correção de vulnerabilidades de segurança no PHP” e que vários sistemas foram desligados como “medida de precaução”.
Wiz vê “ponto de inflexão para a IA” e compara caso ao Heartbleed
Para a Wiz, a IA foi decisiva para encontrar e corrigir vulnerabilidades “que permaneceram ocultas no código-fonte do PHP por mais de uma década”, e o episódio marca um “ponto de inflexão para a IA”. Em publicação no blog da empresa na quarta-feira, os pesquisadores chamaram o PHP de “espinha dorsal da web”.
“O que a IA mudou foi a capacidade de entender as vulnerabilidades e transformá-las em uma exploração funcional”, escreveram. “Com modelos de IA de ponta e as ferramentas certas, um único pesquisador concluiu em uma semana o que antes levaria meses de trabalho para uma equipe de classe mundial.” Na pesquisa, foram usados o Gemini 4 Argon, do Google, o Wiz Atlas e o GPT-5.6 Sol, da OpenAI.
Os pesquisadores comparam o caso ao Heartbleed, falha de 2014 que atingiu uma tecnologia de criptografia usada por cerca de dois terços da internet e permitiu a cibercriminosos acessar dados que deveriam estar protegidos. Segundo eles, o PHP2Shell também pode ser um ponto de virada na segurança cibernética.
“As falhas subjacentes estavam presentes há décadas, mas demonstrar sua possibilidade de exploração exigia uma cadeia de etapas excepcionalmente complexa, no limite do que os pesquisadores humanos poderiam realizar na prática”, disseram. “Os modelos de IA de ponta reduziram substancialmente essa barreira, transformando uma falha antiga em uma vulnerabilidade.”
Editoria:
Redação Clique Fatos
A Redação Clique Fatos assina a cobertura geral do portal. As matérias são produzidas com apoio de inteligência artificial a partir de fontes identificadas (órgãos oficiais, agências e veículos de imprensa) e passam por revisão editorial, sob responsabilidade do editor Aron Medeiros. Encontrou um erro? Escreva para [email protected].
