Na quarta-feira, 21 de setembro, uma série de sites governamentais e corporativos foi retirada do ar em resposta a duas vulnerabilidades críticas na linguagem de programação PHP, amplamente utilizada na construção de páginas da internet. A Agência de Segurança Nacional dos Estados Unidos (NSA) emitiu um alerta urgente, orientando que as organizações afetadas corrigissem as falhas ou desativassem seus sistemas vulneráveis.
As brechas identificadas oferecem uma porta de entrada direta para o sistema de arquivos ou para os bancos de dados dos servidores, o que representa um risco significativo de que hackers possam assumir o controle de sites sem a necessidade de qualquer tipo de autenticação. Dada a popularidade do PHP em plataformas que vão de lojas virtuais a portais de notícias e serviços públicos, a extensão do impacto potencial é alarmante.
A descoberta das falhas ocorre em um contexto de crescente preocupação com a segurança cibernética, especialmente em um momento em que modelos de inteligência artificial estão rapidamente avançando e revelando vulnerabilidades em sistemas já existentes. As projeções indicam que o número de vulnerabilidades detectadas pode dobrar até 2026, superando os recordes do ano anterior.
Os desenvolvedores da linguagem PHP agiram rapidamente, lançando uma atualização na mesma data da descoberta das falhas. A PHP Foundation enfatizou a urgência da situação, alertando os usuários para que realizassem a atualização imediatamente. As vulnerabilidades foram inicialmente reportadas em agosto por duas entidades distintas: a empresa de segurança Calif e a OpenAI, responsável pelo desenvolvimento do ChatGPT, que as identificou de forma independente no mesmo dia. Em seguida, a Wiz, uma empresa de segurança na nuvem ligada ao Google, revelou novas formas de exploração dessas brechas.
Após a comunicação privada com os desenvolvedores do PHP, as informações sobre as falhas vazaram na terça-feira, um dia antes do lançamento oficial da correção, levando a uma corrida frenética para desativar sites vulneráveis. Na França, por exemplo, várias páginas de administrações locais, incluindo a da Prefeitura de Polícia de Paris, foram desconectadas a pedido da Agência Nacional de Cibersegurança, após a detecção da vulnerabilidade. Nos Países Baixos, importantes serviços, como o sistema de identidade digital DigiD e o site da Câmara dos Representantes, também foram desligados como medida de precaução.
