Falhas em PHP derrubam 70% dos sites e causam caos global

Inteligência Artificial

Vulnerabilidades no PHP causam interrupções massivas em serviços essenciais e alertam para riscos globais iminentes.

Leia também: USP abre inscrições para simpósio sobre IA e ensino em novembro

Duas falhas críticas e antigas na linguagem de programação PHP, usada em cerca de 70% dos sites do mundo, foram expostas por ferramentas de inteligência artificial nesta semana e já provocam queda de serviços públicos, ataques a grandes empresas e alertas emergenciais de órgãos de cibersegurança em vários países.

As vulnerabilidades permitem que hackers assumam o controle de servidores sem senha, o que abre caminho para roubo massivo de dados, espionagem e uso de sites confiáveis como plataforma para atacar internautas. Órgãos governamentais no Reino Unido, grandes bancos dos Estados Unidos e a consultoria PwC estão entre os afetados.

Qual foi a falha de segurança no PHP mencionada pela Anthropic?

As falhas são duas vulnerabilidades graves e de longa data no PHP que permitem a tomada de controle remoto de servidores, sem necessidade de conta ou senha, a partir de requisições maliciosas enviadas aos sites.

Esses bugs foram identificados por ferramentas de IA desenvolvidas pela OpenAI e pelo Google, segundo especialistas citados por Jason Clinton, vice-diretor de segurança da informação da Anthropic. Como o PHP é a base de funcionamento de cerca de 70% dos sites globais, o impacto é potencialmente devastador.

Na prática, explorando essas brechas, um invasor consegue executar comandos no servidor, acessar bancos de dados internos, alterar páginas, instalar programas espiões ou transformar o site em trampolim para ataques contra quem o visita.

Quais os riscos para sistemas que utilizam PHP após essa falha de segurança?

Os riscos vão desde indisponibilidade de serviços essenciais até roubo e vazamento de informações sensíveis em larga escala. Governos, hospitais, instituições educacionais, grandes bancos e plataformas comerciais que dependem de PHP ficam expostos a ataques que podem comprometer dados e operações críticas.

Um ataque bem-sucedido pode permitir que criminosos:

• Controlem o servidor afetado como se fossem administradores, sem login.
• Copiem bases de dados internas com informações de usuários, documentos e registros financeiros.
• Modifiquem o código do site para roubar senhas e dados de cartão de visitantes.
• Usem a infraestrutura comprometida para lançar novos ataques contra outros alvos.

Como muitos desses sistemas estão conectados a redes internas de empresas e órgãos públicos, há o temor de contaminação em cadeia, atingindo inclusive infraestruturas críticas.

Órgãos públicos offline e bancos em alerta

Após a revelação das falhas, dezenas de sites de órgãos do governo do Reino Unido saíram do ar nos últimos dias, numa tentativa de conter o risco enquanto correções são aplicadas. Portais de hospitais e serviços escolares também enfrentaram interrupções.

Grandes bancos americanos relataram que agentes de IA de terceiros conseguiram acessar contas de clientes e iniciar transações não autorizadas. Instituições passaram a bloquear ou restringir o acesso de ferramentas externas a sistemas bancários, após detectar essas movimentações suspeitas.

Segundo fontes do setor financeiro, em alguns casos os próprios clientes forneceram suas credenciais de acesso a agentes de IA, que então passaram a operar de forma autônoma dentro das contas — comportamento que acendeu o alerta máximo de segurança.

Ataque à PwC expõe escala do problema

A PwC, uma das maiores consultorias do mundo, confirmou ter sido alvo de um ataque cibernético que resultou no roubo de mais de 590 gigabytes de dados de uma plataforma terceirizada usada para armazenar registros de treinamentos internos.

No total, mais de 108.000 arquivos foram extraídos, envolvendo operações da empresa no Reino Unido, Canadá, China e Austrália. Em nota, um porta-voz afirmou: “Estamos cientes de um incidente envolvendo um site de um fornecedor terceirizado da PwC, utilizado para armazenar registros de treinamentos da empresa. O site afetado não contém dados de clientes, informações pessoais sensíveis ou dados financeiros”.

Mesmo sem atingir dados de clientes, o episódio é visto por especialistas como sinal de como falhas em serviços aparentemente periféricos podem abrir portas para ataques maiores dentro de grandes grupos corporativos.

Entenda o contexto

As duas falhas em PHP vieram à tona em um momento em que ferramentas de IA se tornam cada vez mais hábeis em encontrar brechas de segurança em softwares amplamente usados. O que tradicionalmente exigia semanas ou meses de análise manual por especialistas agora pode ser feito de forma automatizada, em escala e em poucas horas.

Esse salto tecnológico reduz o tempo de reação de equipes de segurança, que precisam identificar, corrigir e distribuir atualizações para sistemas espalhados por milhares de servidores no mundo, enquanto criminosos também usam IA para explorar as mesmas brechas.

Grandes sites e serviços, incluindo plataformas de comércio eletrônico, portais de informação e domínios governamentais, utilizam tecnologia baseada em PHP, o que amplia a superfície de ataque. Entre os exemplos citados por especialistas estão serviços como Etsy, Wikipedia e o portal NASA.gov.

“Tsunami de vulnerabilidades” à frente

Diante da enxurrada de falhas sendo descobertas por IA, Jason Clinton fez um alerta duro sobre o que vem pela frente. “Por pior que a situação tenha ficado nos últimos quatro dias, ela vai piorar muito antes de melhorar”, escreveu nas redes.

Ele afirma que novos problemas de software devem surgir mais rápido do que empresas e governos conseguem corrigi-los, deixando a infraestrutura crítica constantemente exposta. “Nunca desperdicem uma crise. Procurem seus conselhos de administração e peçam ajuda agora mesmo. Precisamos resistir pelos próximos 18 meses”, disse.

Em outra postagem, reforçou o horizonte de tensão: “Precisamos resistir por cerca de 18 meses”. Segundo Clinton, um “tsunami de vulnerabilidades está chegando em poucos meses, e não haverá tempo suficiente para aplicar correções na infraestrutura crítica”.

Quais medidas estão sendo recomendadas para proteger sistemas PHP após essa falha?

As principais agências de cibersegurança envolvidas no caso, como a Agência de Segurança Nacional (NSA) e o FBI nos Estados Unidos, além de órgãos na Europa, Austrália, Japão e Grã-Bretanha, recomendam ações imediatas em três frentes: atualização urgente, desligamento temporário de sistemas vulneráveis e reforço de barreiras básicas.

Entre as orientações gerais estão:

• Aplicar imediatamente as correções de segurança disponíveis para PHP e para os sistemas que o utilizam.
• Desconectar da internet, ainda que de forma provisória, servidores que não possam ser corrigidos de pronto.
• Separar, o máximo possível, sistemas essenciais das redes externas, reduzindo o número de conexões expostas.
• Revisar configurações de acesso remoto, senhas e autenticação em múltiplos fatores para serviços administrativos.
• Monitorar logs e transações em busca de acessos anômalos, sobretudo em serviços financeiros e portais com dados sensíveis.

Clinton também defende que executivos de segurança usem a crise para buscar mais orçamento e estrutura. Segundo ele, o cenário que se desenha exige investimento acelerado em monitoramento, automação de respostas e revisão de práticas de desenvolvimento seguro.

Impacto para empresas e usuários

Para empresas, o efeito imediato é a necessidade de interromper ou restringir serviços online até que as correções sejam testadas e aplicadas, com impacto direto em faturamento, imagem e operação diária. Sites instáveis ou fora do ar, atendimento prejudicado e atrasos em serviços digitais são consequências já sentidas em vários setores.

Para usuários, o risco envolve tanto a indisponibilidade de serviços públicos e bancários quanto a exposição de dados pessoais, históricos médicos, registros acadêmicos e informações financeiras. Mesmo em sites aparentemente confiáveis, um ataque bem-sucedido pode transformar páginas legítimas em iscas para roubo de credenciais.

A avaliação de especialistas é que o episódio deve acelerar uma revisão profunda das práticas de segurança em desenvolvimento e manutenção de software, em especial em linguagens amplamente usadas como o PHP. Ao mesmo tempo, a corrida entre criminosos e defensores armados com ferramentas de IA promete ditar o ritmo da próxima fase da segurança digital global.