Falhas graves em PHP expõem risco urgente para 70% dos sites

Segurança Digital

Vulnerabilidades críticas em PHP evidenciam a necessidade de soluções avançadas para proteger a maioria dos sites na internet.

Leia também: Chrome usa IA e Gmail para preencher formulários: aprenda hoje

Duas vulnerabilidades críticas recém-descobertas em PHP, linguagem que sustenta cerca de 70% dos sites da internet, desencadearam uma corrida global de segurança que envolveu especialistas da Wiz, OpenAI, grupo de pesquisa Calif e o próprio time do PHP — e expuseram uma crise mais profunda na proteção de códigos antigos acelerada pela inteligência artificial.

Falhas em PHP revelam fragilidade do código legado

Os dois bugs graves permitiam que invasores explorassem servidores que rodam PHP, obrigando empresas a aplicar correções às pressas e, em alguns casos, tirar sistemas do ar temporariamente para evitar ataques. A linguagem é base de boa parte da infraestrutura digital, de pequenos blogs a grandes plataformas de comércio eletrônico, serviços financeiros, educação e sites governamentais.

No centro da resposta emergencial esteve Tomer Schwartz, CTO de Exposure Management & AppSec da Wiz, que participou da força-tarefa técnica ao lado de equipes da OpenAI, da Calif e dos mantenedores do PHP. Segundo ele, a sensação de alívio que tomou as redes depois dos primeiros patches é enganosa. “A limpeza do PHP está longe de terminar”, afirma Schwartz.

O episódio escancara o tamanho do problema: uma internet apoiada em enormes volumes de código legado, muitas vezes pouco documentado e raramente revisado com o olhar de segurança moderno, agora exposta a uma nova geração de ferramentas de ataque impulsionadas por IA.

Entenda o contexto

As duas vulnerabilidades foram reveladas em meio a uma crise que obrigou equipes de tecnologia a revisar às pressas configurações e atualizações de seus servidores PHP. A coordenação envolveu pesquisadores independentes, empresas de segurança e os próprios desenvolvedores da linguagem, em um esforço para divulgar as falhas de forma responsável e, ao mesmo tempo, ganhar tempo para que organizações apliquem as correções.

Em conversa recente no podcast Equity, conduzida pela repórter sênior Rebecca Bellan, Schwartz detalhou bastidores dessa corrida e o que ele vê como o prenúncio de um “Vulnpocalypse”: um cenário em que falhas em massa emergem de uma base de software antiga, agora vasculhada sistematicamente por inteligência artificial.

“A inteligência artificial está mudando a forma como descobrimos e exploramos vulnerabilidades”, disse o executivo. Para ele, o mesmo avanço que permite a pesquisadores encontrar brechas de forma mais rápida também está à disposição de agentes maliciosos, que passam a ter capacidade de localizar e explorar bugs em escala antes que as defesas estejam prontas.

Modelo manual de correção entra em xeque

Um dos principais alertas de Schwartz é que o método tradicional de correção — localizar a falha, escrever um patch, testar, distribuir e aplicar manualmente em cada ambiente — não acompanha mais o ritmo. “O patching manual não vai escalar diante da velocidade dos ataques modernos”, afirmou.

Na prática, isso significa que, mesmo quando uma vulnerabilidade é tornada pública e uma atualização é lançada, a janela de exposição permanece aberta por muito tempo em milhares de sistemas que demoram para atualizar, especialmente em organizações menores e em aplicações antigas que ninguém quer tocar.

No caso do PHP, o esforço emergencial evitou que o problema crescesse ainda mais, mas não resolve a raiz: há décadas de código rodando na internet, frequentemente sobre bibliotecas e extensões herdadas, que passam a ser alvo preferencial de ferramentas automáticas de exploração alimentadas por IA.

Startups e sistemas antigos sob pressão

O episódio também acende um alerta para startups e empresas em rápido crescimento, que muitas vezes priorizam lançar produtos no ar antes de estruturar práticas sólidas de segurança. No podcast, Schwartz defendeu que novos negócios adotem o conceito de “security by design” — segurança pensada desde a arquitetura inicial do software, e não como remendo posterior.

Ele argumenta que ignorar segurança no começo cobra um preço alto mais à frente, quando o sistema já está complexo demais para mudanças estruturais e depende de remendos constantes. Com a IA acelerando tanto a pesquisa de vulnerabilidades quanto as tentativas de invasão, esse custo tende a aumentar.

Ao mesmo tempo, grandes empresas com sistemas legados extensos encaram pressão crescente para atualizar ou substituir partes críticas de sua base de código. O risco não é apenas técnico: falhas exploradas em sistemas que lidam com dados sensíveis podem levar a vazamentos em massa, fraudes financeiras e interrupções prolongadas de serviço.

Corrida por automação e defesa com IA

Como resposta, ganha força a busca por soluções automatizadas de detecção, correção e monitoramento de falhas. Ferramentas que usam inteligência artificial para revisar código, apontar vulnerabilidades e até sugerir patches começam a ser vistas como caminho obrigatório para tentar equilibrar a disputa, hoje inclinada para o lado de quem ataca.

Para Schwartz, o setor entra em uma fase em que inovação e colaboração deixam de ser opcionais. A experiência recente com o PHP ilustra isso: só a ação coordenada entre pesquisadores, empresas e mantenedores da linguagem permitiu reduzir rapidamente o risco imediato para milhões de sites.

Apesar da contenção inicial, a expectativa entre especialistas é de que novas falhas em PHP e em outras tecnologias amplamente usadas continuem aparecendo em ritmo acelerado, impulsionadas por ferramentas de IA cada vez mais poderosas. Com 70% dos sites ainda dependentes da linguagem, o aviso do CTO da Wiz de que “a limpeza do PHP está longe de terminar” funciona como sinal de que a crise atual pode ser apenas o primeiro grande teste de uma era de vulnerabilidades contínuas na infraestrutura da internet.