O que é o PHP e por que sites de governo saíram do ar na Europa?

Sites governamentais em toda a Europa ficaram fora do ar nesta quarta-feira (21), enquanto os operadores corriam para corrigir duas vulnerabilidades críticas no PHP, uma das linguagens de programação mais utilizadas da internet.

Os desenvolvedores do PHP anunciaram que lançarão correções para duas vulnerabilidades críticas, e autoridades de segurança da UE (União Europeia) alertaram as organizações que não puderem aplicar as correções para tirarem os sites afetados do ar.

Os EUA também anunciaram que estão acompanhando e coordenando com agências federais e os principais laboratórios de inteligência artificial para agilizar o lançamento da correção.

Veja mais detalhes:

O que é PHP?

É uma linguagem de programação por trás da execução de comandos de sites. Ele funciona nos bastidores.

Quando um usuário carrega uma página, o servidor que executa o PHP monta o conteúdo e envia a página finalizada ao navegador do usuário.

É gratuito, de código aberto e mantido por voluntários. Os proprietários de sites raramente interagem diretamente com ele.

O PHP é executado em quase 70% de todos os sites cuja linguagem de programação pode ser identificada, de acordo com o rastreador de tecnologias da web W3Techs.

É o mecanismo por trás do WordPress, o software sobre o qual se baseia cerca de 40% de todos os sites, como blogs, páginas de pequenas empresas, portais governamentais, lojas online e sites de notícias.

Riscos

As duas vulnerabilidades receberam nota 9,2 em 10 na escala de gravidade CVSS v4.0, um sistema padrão de pontuação do setor.

O CERT-EU, equipe de resposta à segurança eletrônica da União Europeia, afirmou que essa recomendação indica a execução remota de código de programação sem autenticação, o que significa que um invasor pode executar comandos em um servidor vulnerável, pela internet, sem precisar de senha ou conta.

Uma única falha no PHP abre a mesma brecha em milhões de servidores ao mesmo tempo. Quem explorar a falha controla o site.

A GoDaddy, uma provedora de hospedagem na web, afirmou que isso pode resultar em roubo de dados, páginas vandalizadas ou comprometimento total do sistema.

O diretor de tecnologia da Cloudflare disse que os primeiros ataques já estão surgindo.

A maioria dos sites pequenos normalmente é administrada por proprietários sem equipe de segurança, muitas vezes em hospedagem compartilhada, onde eles não gerenciam o servidor e podem não saber quem atualiza o PHP.

O Wordfence, um plugin de segurança para sites do WordPress, alertou que as atualizações automáticas habituais não aplicarão essa correção. A orientação do CERT-EU é tirar os sites afetados do ar, em vez de deixá-los expostos.

Como foi descoberta?

Pesquisadores da empresa de segurança Calif, em colaboração com a OpenAI, relataram a primeira falha ao grupo desenvolvedor do PHP em 11 de agosto, após identificá-la com o modelo GPT-5.6 Sol, informou a empresa.

A Wiz, empresa de segurança da Alphabet, encontrou as falhas de forma independente e relatou um segundo problema em 24 de agosto, também utilizando modelos de inteligência artificial.

A Wiz afirmou que as descobertas “estão entre as vulnerabilidades mais graves já descobertas no PHP e, possivelmente, na história do software”.

As falhas estão presentes há décadas, disse a empresa, mas provar que eram exploráveis exigiu uma sequência de etapas “no limite do que pesquisadores humanos poderiam alcançar na prática”.

O governo dos Estados Unidos afirmou que está acompanhando e coordenando com agências federais e os principais laboratórios de inteligência artificial para agilizar o lançamento da correção.

Fique por dentro das principais notícias do dia no Brasil e no mundo. Siga o canal do R7, o portal de notícias da RECORD, no WhatsApp