A Fundação PHP confirmou que os primeiros indícios das falhas que resultaram na suspensão preventiva de diversos websites em várias nações surgiram em 2024. O processo de correção dessas vulnerabilidades foi interrompido e reiniciado múltiplas vezes, devido à escassez de recursos e às dificuldades tomadas pela equipe de segurança.
Essas falhas possuem potencial para permitir que invasores obtenham controle sobre servidores sem a necessidade de credenciais de login ou senha. Uma atualização de segurança já foi disponibilizada, e tanto entidades governamentais quanto corporações implementaram ações preventivas para diminuir a probabilidade de ataques.
O problema foi detectado durante uma auditoria externa conduzida em 2024 pela Quarkslab, uma empresa francesa especializada em cibersegurança. De acordo com a Fundação PHP, o esforço para sanar as vulnerabilidades se estendeu por vários meses e enfrentou três impedimentos significativos.
A fundação também reconheceu que a segurança da linguagem depende de um número limitado de desenvolvedores, que são apoiados por fundações, e de colaboradores voluntários. A restrição de recursos gera grande apreensão, dada a ampla utilização do PHP na internet, sendo empregado em plataformas notáveis como Facebook, Wikipedia e WordPress, além do Moodle, usado por instituições de ensino, e do Magento, focado em comércio eletrônico.
A Fundação PHP emprega ferramentas de inteligência artificial, como o Claude Mythos, para analisar códigos e avaliar relatórios de falhas. Embora esses recursos ajudem a identificar problemas com maior rapidez, eles não são capazes de definir a maneira ideal de estruturar uma correção.
A investigação sobre as falhas progrediu para além da fundação. A empresa de segurança Calif e a OpenAI, responsável pelo ChatGPT, identificaram as vulnerabilidades de maneira autônoma e as reportaram em agosto deste ano. Posteriormente, a Wiz, especialista em segurança na nuvem, descobriu outras maneiras de explorar essas falhas.
Na quarta-feira (21), a Wiz classificou o incidente como um dos mais críticos já registrados no PHP. A empresa declarou que tais descobertas se enquadram entre as vulnerabilidades mais sérias encontradas no PHP e, possivelmente, na história do software. A companhia acrescentou que, por mais de uma década, essas falhas críticas permaneceram sem solução porque a detecção e exploração de vulnerabilidades era extremamente complexa sem o auxílio da IA.
Para investigar as falhas, a Wiz utilizou os modelos Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI.
Desde a quarta-feira (21), governos e empresas de diversos países suspenderam temporariamente o acesso aos seus sites como medida de prevenção contra invasões. No Brasil, a Agência Nacional de Telecomunicações (Anatel) e tribunais suspenderam o acesso ao Sistema Eletrônico de Informações (SEI), utilizado na administração de processos. Até o momento, não foram relatados grandes prejuízos no país.
A vasta extensão da exposição ajuda a justificar a preocupação com a falha. Thiago Ayub, diretor de tecnologia da Sage Networks e especialista em telecomunicações, aponta que rankings públicos indicam que o PHP é a linguagem utilizada em aproximadamente 70% dos sites.
Com a atualização de segurança já disponível, a implementação da correção nos sistemas afetados constitui a principal estratégia para mitigar o risco de invasões.