Páginas governamentais em toda a Europa saíram do ar na quarta-feira (21) enquanto equipes de operação trabalhavam para corrigir duas falhas críticas identificadas no PHP, uma das linguagens de programação mais empregadas na internet. No Brasil, serviços governamentais também sofreram suspensão preventiva para a aplicação das correções necessárias.
O PHP responde por aproximadamente 70% dos sites em todo o mundo. De acordo com cientistas que participaram da identificação do problema, a vulnerabilidade estava oculta no software da empresa há anos.
O que é o PHP?
Trata-se de uma linguagem de programação voltada para a execução de sites que opera nos bastidores. Quando um usuário acessa uma página, o servidor que roda o PHP monta o conteúdo e o envia pronto para o navegador. A tecnologia é gratuita, de código aberto e mantida por voluntários, sendo pouco manuseada diretamente pelos proprietários dos sites.
Dados da empresa de monitoramento tecnológico W3Techs apontam que o PHP está presente em quase 70% de todos os sites com linguagem identificada. Ele é a base, por exemplo, do WordPress, plataforma utilizada em cerca de 40% das páginas globais, abrangendo blogs, portais de pequenas empresas, sites de notícias, lojas virtuais e portais governamentais.
Riscos associados às falhas
As duas vulnerabilidades detectadas receberam nota 9,2 de 10 na escala de gravidade CVSS v4.0, padrão da indústria. Conforme o CERT-EU, equipe de resposta a incidentes de segurança cibernética da União Europeia, a pontuação aponta para a execução remota de código não autenticada. Isso significa que um invasor tem a capacidade de rodar comandos em um servidor vulnerável através da internet, sem a necessidade de senha ou conta cadastrada.
Uma falha isolada no PHP afeta milhões de servidores ao mesmo tempo, permitindo o controle do site por quem explorar o problema. A empresa de hospedagem web GoDaddy apontou riscos como roubo de dados, adulteração de páginas ou comprometimento total dos sistemas.
Grande parte dos sites menores é administrada sem uma equipe de segurança específica, muitas vezes em ambientes de hospedagem compartilhada onde o usuário não gerencia o servidor e pode desconhecer quem realiza as atualizações do PHP. O Wordfence, plugin de segurança para WordPress, emitiu alerta informando que as atualizações automáticas não vão incluir essa correção. A orientação do CERT-EU é remover temporariamente os sites afetados do ar em vez de mantê-los expostos.
Origem da descoberta
Cientistas da empresa de segurança Calif, em parceria com a OpenAI, relataram a primeira falha no PHP em 11 de agosto, utilizando o modelo GPT-5.6 Sol da OpenAI. De forma independente, a Wiz, empresa de segurança ligada ao Google, investigou a questão e reportou uma segunda detecção em 24 de agosto, também com o uso de modelos de inteligência artificial.
A Wiz classificou as descobertas como algumas das vulnerabilidades mais sérias já encontradas no PHP e possivelmente na história do software. A companhia destacou que as falhas estruturais estavam presentes havia décadas, mas a comprovação de sua explorabilidade exigia uma série de etapas no limite da capacidade prática de pesquisadores humanos.
O governo do presidente dos Estados Unidos, Donald Trump, declarou estar acompanhando a situação e em coordenação com agências federais e laboratórios de inteligência artificial para acelerar a divulgação da correção. A descoberta foi apontada como demonstração de que a superinteligência norte-americana reforça a segurança nacional.