Falha em PHP expõe 70% da internet e causa pane global hoje

Segurança Digital

Vulnerabilidade em PHP gera impacto global e destaca riscos da inteligência artificial na proteção dos sites.

Leia também: Roku lança plataforma com 3 mil canais para personalizar sua TV

Uma vulnerabilidade grave e antiga na linguagem PHP, base de cerca de 70% dos sites do mundo, desencadeia nesta semana uma operação emergencial para aplicar correções, derruba temporariamente serviços on-line e escancara a fragilidade estrutural da internet diante do avanço da inteligência artificial.

A falha, existente há décadas e só agora identificada por pesquisadores humanos ligados a iniciativas de grandes empresas de IA como OpenAI e Wiz (hoje parte do Google), permite ataques em larga escala contra sistemas de gerenciamento de conteúdo e plataformas de comércio eletrônico, entre outros. Dezenas de milhões de sites estão potencialmente expostos.

Autoridades, provedores de nuvem e empresas de tecnologia vêm recomendando que administradores apliquem os patches disponíveis imediatamente e, se não conseguirem atualizar de forma segura, tirem os sites do ar temporariamente para evitar invasões e vazamentos de dados.

Como a inteligência artificial pode expor a infraestrutura frágil da internet?

A descoberta desta falha em PHP mostra que a IA acelera tanto a caça quanto a exploração de vulnerabilidades, ampliando o risco para uma infraestrutura que já é considerada frágil por especialistas.

Os bugs em PHP foram encontrados por pesquisadores humanos, mas ferramentas de IA foram usadas para explorar o problema e demonstrar o que invasores poderiam fazer. A avaliação nas grandes empresas de tecnologia é que, se defensores conseguem usar modelos de linguagem para localizar brechas em softwares antigos, criminosos digitais podem fazer o mesmo — só que em escala muito maior e com menos escrúpulos.

Para o especialista em tecnologia Sean O’Kane, o episódio marca um ponto de virada: “Este é um momento de ajuste de contas real, onde vamos descobrir o risco de construir tanto da internet em tecnologia open source como PHP”. Ele resume a sensação de fragilidade dizendo que “quando você realmente chega ao nível ósseo da internet, ela é segurada por cola e sonhos”.

Na prática, isso significa que componentes pouco visíveis da web — bibliotecas, linguagens e sistemas mantidos muitas vezes por pequenas comunidades — podem esconder falhas profundas, que só aparecem quando ferramentas sofisticadas, como IA generativa e agentes automatizados, começam a vasculhar código em massa.

O resultado é uma corrida entre quem tenta corrigir as brechas e quem tenta explorá-las. Desde que os detalhes da vulnerabilidade em PHP começaram a circular, empresas que monitoram tráfego malicioso relatam milhões de tentativas de invasão direcionadas ao problema, o que levou governos a retirar sites do ar preventivamente e grandes portais a ficarem indisponíveis por alguns períodos para aplicar correções.

Vulnerabilidade antiga, impacto imediato

Um dos aspectos mais alarmantes do caso é o tempo em que a falha permaneceu escondida. A vulnerabilidade existe há décadas no núcleo do PHP, linguagem usada em ferramentas como WordPress e Drupal e em boa parte da infraestrutura de sites governamentais, bancários e de comércio eletrônico.

“Você tem que corrigir imediatamente, e se não puder, tire seu site do ar. É uma vulnerabilidade tão severa”, afirma o jornalista de tecnologia Anthony Ha. A orientação vem sendo ecoada por equipes de segurança de provedores de nuvem e empresas de hospedagem, que dispararam alertas a clientes desde o início da semana.

A jornalista especializada em tecnologia Kirsten Korosec chama atenção para um problema adicional: muitos donos de sites não têm ideia de que dependem de PHP. “Muita gente nem sabe que seus sites têm PHP, que é a base de cerca de 70% dos sites”, diz. Isso inclui desde pequenos negócios até órgãos públicos e empresas de médio porte, que terceirizaram o desenvolvimento e hoje não têm equipes técnicas preparadas para reagir rapidamente.

Esse desconhecimento complica a resposta à crise: enquanto grandes empresas conseguem mobilizar times de segurança e infraestrutura em poucas horas, milhares de sites menores ficam desatualizados, mesmo sob risco de invasão e vazamento de dados sensíveis de clientes.

Risco de invasões, perdas de dados e ‘apagões’ locais

A brecha em PHP abre caminho para diferentes tipos de ataque, dependendo de como o site é construído. Entre os cenários considerados mais graves estão a tomada de controle total do servidor, o roubo de bases de dados com informações pessoais e financeiras e a inserção de códigos maliciosos em páginas legítimas, usados para roubo de senhas ou disseminação de golpes.

Korosec alerta que setores críticos também entram no radar: “Estamos vendo o próximo nível do ‘prepper doom’ porque bancos podem ser explorados, e com dados e preocupações de privacidade, parece algo maior do que podemos consertar agora”. Ela ressalta que, embora grandes bancos tenham defesas robustas, a cadeia de fornecedores e serviços terceirizados costuma usar tecnologias mais antigas e vulneráveis.

Empresas como Google, OpenAI, provedores de nuvem e grandes plataformas de hospedagem montaram verdadeiros mutirões digitais para mitigar o problema, com detecção automática de tentativas de exploração, bloqueios temporários de tráfego suspeito e pacotes de correção pré-configurados para clientes menos técnicos.

Mesmo assim, o efeito lateral é visível: serviços saindo do ar sem aviso, lojas virtuais inoperantes em horários de pico e páginas de órgãos públicos apresentando falhas ou mensagens de manutenção emergencial.

Entenda o contexto

PHP (sigla recursiva para Hypertext Preprocessor) é uma linguagem open source criada para gerar páginas dinâmicas na web. Ela se tornou, ao longo de décadas, o “motor” de sistemas de gerenciamento de conteúdo, como WordPress e Drupal, e de incontáveis sites sob medida, de blogs pessoais a grandes portais de notícias e comércio eletrônico.

Por ser gratuita, amplamente documentada e suportada por praticamente todos os serviços de hospedagem, PHP acabou dominando a web a ponto de hoje estar presente em cerca de 70% dos sites ativos. Em muitos casos, o código original foi escrito há anos e recebeu apenas remendos pontuais — cenário ideal para que falhas discretas, mas perigosas, permaneçam invisíveis por muito tempo.

O avanço recente da inteligência artificial coloca esse legado sob pressão. Ferramentas capazes de analisar grandes volumes de código, gerar provas de conceito de ataques e automatizar varreduras em massa transformam vulnerabilidades teóricas em ameaças práticas, quase instantaneamente.

‘Link rot’ e perda de memória da web

Para além do impacto imediato na segurança, a crise em torno do PHP reacende o debate sobre o futuro da memória digital. Diante da orientação para desligar sites que não possam ser corrigidos rapidamente, cresce o risco de “link rot” — o apodrecimento de links, quando páginas antes acessíveis passam a retornar erro ou desaparecem de vez.

Korosec lembra que muitos desses sites guardam pequenos fragmentos da história recente: notícias locais, registros de associações de bairro, arquivos de pequenos jornais e blogs independentes. Quando são desativados sem migração adequada, conteúdo que nunca chegou a ser arquivado em serviços de preservação digital simplesmente some.

Essa perda, somada a outras interrupções causadas por crises de segurança, reforça a impressão de que a web é menos permanente do que parece e que a dependência de tecnologias antigas, pouco mantidas e concentradas em poucas mãos torna todo o ecossistema mais frágil.

Como a atual infraestrutura da internet suporta o avanço da inteligência artificial?

A infraestrutura atual da internet suporta o avanço da IA de forma desigual: grandes plataformas conseguem reforçar a segurança rapidamente, enquanto a base de sites menores, construída sobre tecnologias antigas como PHP, fica exposta.

De um lado, gigantes da tecnologia contam com equipes de segurança 24 horas, redes de monitoramento global, honeypots (servidores-armadilha) para detectar ataques antes do público e a própria IA como ferramenta defensiva. Foi em iniciativas desse tipo, ligadas a empresas como OpenAI e Wiz, que a vulnerabilidade em PHP acabou emergindo.

De outro lado, a enorme massa de sites que compõe a “long tail” da web — pequenas empresas, organizações sem fins lucrativos, prefeituras, projetos pessoais — opera com hospedagem barata, manutenção esparsa e pouca ou nenhuma cultura de segurança. São esses alvos que tendem a sofrer mais quando uma falha estrutural vem à tona.

O desequilíbrio também aparece na forma de divulgação. Especialistas apontam que não há hoje um mecanismo eficiente para avisar, de maneira segmentada e rápida, todos os administradores impactados por uma vulnerabilidade tão ampla. O resultado é um anúncio público que, ao mesmo tempo, permite que defensores se movimentem e dá a hackers um mapa do caminho.

Analistas veem nessa crise um ensaio do que deve se tornar rotina nos próximos anos: descobertas de falhas profundas em componentes essenciais, catalisadas por IA, seguidas de ondas de ataques automatizados. A tendência é que governos pressionem por regras mais rígidas de atualização, auditoria de código e notificação de incidentes, além de incentivos à modernização de sistemas legados.

Por ora, a prioridade é estabilizar o presente: aplicar correções em massa, reforçar filtros de ataque e tentar manter no ar, com segurança mínima aceitável, a espinha dorsal de sites que sustentam serviços públicos, meios de pagamento e o cotidiano digital de bilhões de pessoas.