Na quarta-feira (21), uma série de sites governamentais e corporativos foram retirados do ar em diversos países, em resposta a duas vulnerabilidades críticas relacionadas ao PHP, uma das linguagens de programação mais utilizadas na web. A situação gerou alarme entre as autoridades de segurança cibernética, com a Agência de Segurança Nacional dos Estados Unidos (NSA) instando as organizações a corrigirem as falhas ou desativarem seus sistemas vulneráveis de imediato.
A NSA destacou que essas falhas oferecem um “caminho direto” para o acesso ao sistema de arquivos e ao banco de dados dos servidores, permitindo que hackers possam assumir o controle de sites sem a necessidade de autenticação. Essa realidade é preocupante, uma vez que o PHP está integrado a uma vasta gama de plataformas na internet, abrangendo desde lojas virtuais até portais de notícias e serviços públicos.
A descoberta das falhas se deu em um contexto em que a segurança de software tem sido amplamente discutida, especialmente com o advento de modelos de inteligência artificial que estão revolucionando o campo. Com a tendência atual, as projeções indicam que o número de vulnerabilidades detectadas em 2026 pode dobrar em comparação ao ano passado.
Em resposta à crise, desenvolvedores voluntários do projeto PHP lançaram uma atualização para corrigir os problemas nesta quarta-feira. A PHP Foundation enfatizou a urgência da situação, alertando que “se você usa PHP, é imperativo atualizá-lo imediatamente”. As falhas foram inicialmente reportadas em agosto por empresas de segurança, incluindo a Calif e a OpenAI, que as identificaram de forma independente, e os detalhes foram mantidos em sigilo até que uma correção fosse preparada.
Entretanto, informações sobre as vulnerabilidades vazaram online um dia antes do lançamento da correção, o que levou a uma corrida contra o tempo para impedir possíveis ataques. Na França, sites de várias administrações locais, incluindo o da Prefeitura de Polícia de Paris, foram desativados a pedido da Agência Nacional de Cibersegurança. Nos Países Baixos, serviços essenciais, como o site da Câmara dos Representantes e o sistema de identidade digital DigiD, também foram desligados como medida de precaução, conforme relatado pela emissora pública NOS.
