Vulnerabilidades no PHP tiram sites do ar em vários países
A NSA pediu a instalação imediata das correções ou o desligamento de sistemas expostos; a atualização do PHP foi publicada nesta quarta-feira.
Resumo em 30 segundos
Agências e empresas de vários países retiraram sites do ar após a divulgação de duas vulnerabilidades críticas no PHP. A NSA recomendou instalar as correções ou desligar sistemas expostos, e o projeto PHP publicou uma atualização nesta quarta-feira. França e Países Baixos também suspenderam temporariamente serviços públicos.
Agências governamentais e empresas de vários países retiraram sites do ar nesta quarta-feira (21) após a divulgação de duas vulnerabilidades críticas no PHP, linguagem de programação usada em grande parte da internet. A Agência de Segurança Nacional dos Estados Unidos (NSA) recomendou que organizações instalem as correções disponíveis imediatamente ou desliguem os sistemas expostos. Voluntários do projeto PHP publicaram uma atualização para corrigir as falhas no mesmo dia.
As vulnerabilidades podem abrir acesso direto aos arquivos ou ao banco de dados de servidores. Segundo a NSA, hackers poderiam explorá-las para assumir o controle de servidores web sem precisar de senha. Como o PHP sustenta plataformas populares de criação e funcionamento de sites, o risco pode alcançar páginas de empresas, veículos de comunicação, lojas virtuais e serviços públicos.
A PHP Foundation, organização que financia desenvolvedores da linguagem, pediu que usuários atualizem seus sistemas sem demora. A correção foi disponibilizada nesta quarta-feira, mas organizações também optaram por interromper temporariamente serviços para reduzir o risco enquanto avaliam a instalação da atualização.
Na França, páginas de administrações locais, entre elas a da Prefeitura de Polícia de Paris, estavam inacessíveis desde a tarde desta quarta-feira. O Ministério do Interior informou que a medida foi tomada a pedido da Agência Nacional de Cibersegurança francesa, após a identificação de uma vulnerabilidade crítica.
Nos Países Baixos, foram desligados preventivamente o DigiD, serviço nacional de identidade digital, o site da Câmara dos Representantes e o portal do centro nacional de cibersegurança. A decisão foi noticiada pela emissora pública NOS.
As falhas foram comunicadas em agosto à equipe responsável pelo PHP pela empresa de segurança Calif e pela OpenAI, que as identificaram de forma independente no mesmo dia. Depois, a Wiz, empresa de segurança em nuvem do Google, relatou outros meios de explorar os problemas. Os detalhes foram mantidos em sigilo enquanto os desenvolvedores preparavam a atualização.
A divulgação dos detalhes na internet ocorreu na terça-feira, um dia antes do lançamento previsto da correção, e levou organizações a agir antes que a atualização fosse aplicada. O episódio também ocorre em meio ao aumento de vulnerabilidades de software identificadas com ajuda de ferramentas de inteligência artificial. Se a tendência atual continuar, o total detectado em 2026 poderá chegar ao dobro do recorde registrado no ano passado.
