Na última quarta-feira (21), uma série de sites governamentais e corporativos ao redor do mundo foram temporariamente desativados em resposta à identificação de duas vulnerabilidades críticas na linguagem de programação PHP, amplamente utilizada na construção de páginas da internet. A Agência de Segurança Nacional dos Estados Unidos (NSA) emitiu um alerta solicitando que as instituições afetadas tomassem medidas imediatas para corrigir as falhas ou desativar os sistemas em risco.
Segundo a NSA, as vulnerabilidades oferecem uma porta de entrada direta para o sistema de arquivos ou para o banco de dados do servidor, permitindo que hackers possam assumir o controle de servidores sem necessitar de senhas. Dado que o PHP é a base de várias plataformas populares na web, o impacto potencial dessas falhas se estende a uma vasta gama de sites, incluindo e-commerces, portais de notícias e serviços públicos.
A descoberta das falhas ocorre em um momento em que o debate sobre segurança de software está em alta, impulsionado pelo avanço de modelos de inteligência artificial (IA). Com as tendências atuais, especialistas preveem que o número de vulnerabilidades detectadas em 2026 poderá dobrar em relação ao pico registrado no ano passado.
Em resposta ao problema, desenvolvedores voluntários do projeto PHP lançaram uma atualização na mesma data, enfatizando a urgência de que os usuários atualizassem seus sistemas imediatamente. A PHP Foundation, que apoia esses desenvolvedores, ressaltou a importância da atualização, dada a gravidade das falhas.
As vulnerabilidades foram inicialmente relatadas em agosto pela Calif e, de forma independente, pela OpenAI, que as detectou no mesmo dia. Após um período de comunicação privada com os desenvolvedores do PHP, os detalhes acabaram vazando online um dia antes da correção ser divulgada, o que levou a um esforço frenético para desativar os sites vulneráveis.
Na França, a Agência Nacional de Cibersegurança recomendou o desligamento de sites de administrações locais, incluindo a Prefeitura de Polícia de Paris, após a detecção da falha. Nos Países Baixos, serviços essenciais como o DigiD, que é o sistema de identidade digital, e o site da Câmara dos Representantes também foram desativados como medida de precaução, conforme reportado pela emissora pública NOS.
