Governos e corporações ao redor do mundo precisaram desativar portais preventivamente após a confirmação, pela Fundação PHP, de que os primeiros indícios da vulnerabilidade crítica foram detectados ainda em 2024. A entidade que gerencia a linguagem de programação justificou a demora na implementação de correções citando a escassez de recursos financeiros e obstáculos nos processos decisórios internos de sua equipe de segurança.
Ataques evitados e o cenário no Brasil Desde a última quarta-feira (21), diversas nações adotaram medidas drásticas para bloquear invasões. As falhas descobertas permitem que hackers assumam o controle de servidores sem a necessidade de credenciais de acesso, embora uma atualização corretiva já esteja disponível.
Em território brasileiro, órgãos públicos como a Anatel e tribunais optaram por suspender temporariamente o acesso ao Sistema Eletrônico de Informações (SEI), plataforma essencial para a gestão de processos administrativos. Apesar da medida preventiva, autoridades não registraram grandes ocorrências decorrentes da brecha de segurança no país.
Entenda o impacto do PHP na internet Considerada uma das tecnologias mais difundidas para o desenvolvimento web, a ferramenta gratuita e de código aberto atua interpretando e executando códigos da linguagem PHP. A infraestrutura sustenta plataformas gigantescas como Facebook, Wikipedia, WordPress, além do sistema educacional Moodle e de lojas virtuais criadas no Magento.
Thiago Ayub, diretor de tecnologia da Sage Networks e especialista em telecomunicações, afirma que “rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites”. Segundo ele, os sites que não forem atualizados rapidamente podem ser invadidos.
Os motivos para o atraso na correção Conforme o comunicado oficial emitido pela Fundação PHP, os indícios iniciais da brecha surgiram durante uma auditoria externa realizada pela empresa francesa de cibersegurança Quarkslab no ano de 2024.
O fluxo de reparação sofreu paralisações e retomadas sucessivas devido a três fatores principais: impasses na tomada de decisões do grupo de segurança, a falta inicial de um método conhecido para explorar a falha via comandos remotos, e a sobrecarga de trabalho sobre o restrito grupo de programadores com domínio avançado sobre a arquitetura do PHP.
A fundação destacou que a integridade do sistema ainda recai sobre poucos profissionais mantidos por doações e voluntários. Embora utilize inteligência artificial, como o Claude Mythos, para rastrear códigos e relatórios de vulnerabilidades, a entidade ressalta que as ferramentas automatizadas auxiliam na detecção, mas não definem estratégias de reestruturação.
O papel da inteligência artificial na descoberta Mesmo com o conhecimento prévio da fundação, as mesmas brechas foram localizadas de maneira autônoma pela empresa Calif e pela OpenAI em agosto deste ano. Posteriormente, a Wiz, especialista em segurança em nuvem, identificou novas formas de exploração utilizando modelos avançados como o Gemini 4 Argon e o GPT-5.6 Sol.
“Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software”, afirmou a Wiz na quarta-feira (21).
A companhia também pontuou que “por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas [sem o uso da IA]”.
