PHP tem falhas críticas e leva órgãos a suspender serviços online

Órgãos públicos e empresas no Brasil e em outros países suspenderam serviços online ou aplicaram atualizações de segurança após a divulgação de falhas críticas no PHP, linguagem usada em milhões de sites. No país, a vulnerabilidade deixou temporariamente indisponível o Sistema Eletrônico de Informações (SEI), plataforma empregada por órgãos públicos para administrar documentos e processos.

A Agência Nacional de Telecomunicações (Anatel) informou que a interrupção do SEI foi uma medida ligada a uma vulnerabilidade identificada no PHP. Segundo a agência, aplicações executadas em servidores que usam a linguagem podem ser afetadas. A Anatel não divulgou previsão para a retomada do sistema.

O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR.Gov) emitiu um alerta e recomendou que instituições identifiquem sistemas, servidores, aplicações e serviços que utilizam PHP, confiram as versões instaladas e apliquem as atualizações de segurança. O órgão também orientou que as equipes considerem a compatibilidade e os procedimentos de mudança de cada ambiente.

Os desenvolvedores do PHP publicaram correções na quarta-feira, dia 21, e recomendaram a atualização imediata. As falhas, que estavam presentes no software havia anos, foram identificadas com auxílio de inteligência artificial. Detalhes técnicos sobre as vulnerabilidades foram divulgados antes de as correções estarem prontas, segundo Madeline Lawrence, cofundadora da empresa de segurança cibernética Aikido Security.

A divulgação foi seguida por um aumento de tentativas de exploração. A Cloudflare, empresa de serviços em nuvem, informou que observou milhares de tentativas nas dez horas anteriores ao anúncio público. De acordo com o CEO da companhia, Matthew Prince, o volume chegou a dezenas de milhares nos 45 minutos seguintes, centenas de milhares em duas horas e, depois, milhões.

A exposição acontece porque o PHP é amplamente utilizado para criar e manter sites e sistemas. A linguagem sustenta plataformas como WordPress, Drupal, Moodle, Joomla e Magento. Por isso, a presença de uma vulnerabilidade em servidores PHP pode afetar diferentes serviços, embora a aplicação de correções dependa da versão e da configuração de cada sistema.

Tiffany Farriss, presidente-executiva interina da Drupal Association, afirmou que servidores com versões do PHP lançadas nos últimos 20 anos estariam vulneráveis. Dados da empresa de inteligência sobre a internet Censys apontavam cerca de 1,5 milhão de servidores, de um total de 2,6 milhões identificados, usando versões para as quais ainda não havia correção disponível.

A resposta variou entre os países e organizações. No Japão, empresas como a corretora Nomura, o banco Mitsubishi UFJ Financial Group, a companhia aérea ANA e a East Japan Railway suspenderam temporariamente alguns serviços pela internet. O Ministério das Finanças e a Agência Meteorológica japonesa também interromperam parte de seus serviços online, enquanto a Agência Tributária Nacional retirou temporariamente seu serviço do ar.

Na França, a operadora Orange suspendeu por precaução o acesso a determinados sites e aplicativos baseados em PHP em algumas subsidiárias. Na Finlândia, a provedora estatal de tecnologia Valtori começou a retirar gradualmente bloqueios preventivos após instalar correções. A empresa havia interrompido serviços públicos na internet, mas afirmou que as interrupções não decorreram de exploração das falhas nem de invasão e que não tinha conhecimento de ataques ativos.

A Valtori alertou que a restauração poderia levar dias ou semanas, porque os sistemas precisam ser testados após as atualizações. A etapa é necessária para verificar se a correção protege o serviço sem comprometer seu funcionamento. Em diferentes países, órgãos de segurança recomendaram atualizar os sistemas ou manter sites fora do ar até a instalação das correções.

O PHP surgiu no início dos anos 1990 e seu nome originalmente significava “Personal Home Page”. Como a linguagem é usada em sites públicos e privados, uma falha pode alcançar serviços de setores distintos, mas isso não significa que todos tenham sido invadidos. A orientação para instituições é verificar quais ambientes estão expostos, instalar as versões corrigidas e acompanhar eventuais tentativas de exploração.