A Fundação PHP, entidade que mantém uma das linguagens de programação mais usadas para criar sites, reconheceu que os primeiros sinais da falha de segurança que levou governos e empresas a tirar páginas do ar nesta semana surgiram ainda em 2024.
Em nota publicada em seu site, a organização atribuiu a demora na correção à falta de recursos e a dificuldades no processo de decisão da equipe de segurança. Uma atualização que fecha as brechas já está disponível.
Correção travou por meses
Segundo a fundação, o problema apareceu pela primeira vez em uma auditoria externa de segurança feita em 2024 pela Quarkslab, empresa francesa de cibersegurança. O trabalho de correção, no entanto, foi interrompido e retomado diversas vezes ao longo de meses.
A entidade admitiu ainda uma fragilidade estrutural: a segurança do PHP continua nas mãos de um pequeno grupo de desenvolvedores financiados por fundações, com apoio de contribuições voluntárias. O software é gratuito e de código aberto, ou seja, qualquer pessoa pode usá-lo e alterá-lo.
O alcance do problema explica a reação em cadeia. As vulnerabilidades podem permitir que criminosos assumam o controle dos servidores que mantêm os sites no ar, sem precisar de login ou senha. A tecnologia está por trás de serviços como Facebook, Wikipedia e WordPress, além do Moodle, usado por instituições de ensino, e do Magento, voltado a lojas virtuais. A corrida global para desligar sites começou na quarta-feira (21), depois que detalhes das falhas vazaram na internet um dia antes do lançamento previsto da correção.
IA ajuda, mas não decide
A fundação informou que usa ferramentas de inteligência artificial, como o Claude Mythos, para analisar códigos e validar e avaliar relatos de falhas. De acordo com a entidade, esses recursos aceleram a identificação de problemas, mas não conseguem definir qual é a melhor forma de estruturar uma correção.
Descoberta independente com ajuda de IA
Mesmo com a fundação já ciente das brechas, elas foram encontradas de forma independente pela empresa de segurança Calif e pela OpenAI, dona do ChatGPT, que as reportaram em agosto deste ano. Depois, a Wiz, empresa de segurança em nuvem, afirmou ter achado outras maneiras de explorar as falhas, com apoio dos modelos Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI.
“Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software”, declarou a Wiz na quarta-feira (21). Para a empresa, as brechas ficaram mais de uma década sem resposta porque encontrá-las e explorá-las era extremamente complexo sem a IA. O uso de IA para achar brechas já tinha um precedente: em maio, o Google interrompeu o primeiro ataque documentado em que criminosos usaram a tecnologia para explorar uma falha zero-day.
Efeitos no Brasil
No país, a Agência Nacional de Telecomunicações (Anatel) e tribunais suspenderam por precaução o acesso ao Sistema Eletrônico de Informações (SEI), usado na gestão de processos administrativos. Três tribunais regionais federais, TRF1, TRF4 e TRF6, também tiraram o sistema do ar. Até agora, não há relatos de grandes impactos no país.