Por Raphael Satter e Leo Marchandon e Kanjyik Ghosh e Rajveer Pardesi
21 Out (Reuters) - Sites governamentais na Europa e em outros lugares ficaram fora do ar nesta quarta-feira, depois que a divulgação de vulnerabilidades críticas em uma linguagem de programação amplamente utilizada levou os operadores de sites em todo o mundo a correrem para proteger seus sistemas.
Os desenvolvedores da linguagem de programação PHP divulgaram nesta quarta-feira novas correções urgentes para vulnerabilidades que estavam ocultas em seu software há anos, até serem descobertas por meio de inteligência artificial, afirmando que todos os usuários eram “incentivados a atualizar imediatamente”.
Com as empresas de tecnologia alertando que alguns hackers já estavam explorando as falhas, órgãos governamentais em toda a Europa estavam entre os que tiraram os sites do ar como medida de precaução.
Como a correção já foi divulgada e as ferramentas de inteligência artificial são capazes de fazer engenharia reversa do bug com pouco esforço, especialistas afirmaram que se preparavam para uma onda de invasões, já que os hackers se apressavam para se antecipar às correções.
A IA estava impulsionando uma “corrida para explorar”, disse Costin Raiu, cofundador da TLP:Black, empresa de pesquisa em segurança cibernética e resposta a incidentes. Ele afirmou que o próximo passo seria o “comprometimento em massa de todos os servidores web vulneráveis na internet”.
O PHP — uma linguagem que remonta ao início da década de 1990 e que inicialmente significava “Personal Home Page” — sustenta grande parte da web voltada para o público e está integrado a sites como WordPress, Drupal, Joomla e Magento, o que significa que qualquer vulnerabilidade crítica tem, potencialmente, enormes consequências em cadeia.
“Todos os servidores que utilizam qualquer versão do PHP lançada nos últimos 20 anos estarão vulneráveis”, afirmou Tiffany Farriss, diretora executiva interina da Drupal Association. “Esse problema afeta a maior parte da internet.”
Agências de segurança cibernética na Europa, Austrália, Japão e Reino Unido instaram os usuários do PHP a atualizarem imediatamente ou a tirarem os sites do ar até que as correções possam ser aplicadas.
A própria agência de segurança cibernética holandesa ficou offline, afirmando que tomou essa medida como precaução devido às vulnerabilidades. O operador da enciclopédia online Wikipedia também informou que retirou do ar um número não especificado de sistemas até que pudessem ser corrigidos com segurança.
Até mesmo alguns líderes mundiais, que normalmente não se envolvem com atualizações de software, se manifestaram. A primeira-ministra japonesa, Sanae Takaichi, em uma postagem no X, disse que os proprietários de sites deveriam “verificar se seus sites ativos usam PHP e se preparar para aplicar a nova correção”.
BUG ENCONTRADO COM IA
A falha no PHP foi descoberta por meio de inteligência artificial, informou a empresa de segurança cibernética Wiz, de propriedade da Alphabet , em uma postagem.
As vulnerabilidades permaneceram ocultas no código-fonte do PHP por mais de uma década e teriam sido extremamente complicadas de serem exploradas por um hacker humano, segundo a postagem.
“Antes da IA, esse trabalho manual seria difícil de implementar e ainda mais difícil de escalar”, afirmou. “Com a IA, isso não é mais um obstáculo.”
A Wiz informou que sua pesquisa contou com o Wiz Atlas, sua ferramenta autônoma de pesquisa de vulnerabilidades baseada em IA, bem como com o Gemini 4 Argon, do Google, e o GPT-5.6 Sol, da OpenAI. A empresa afirmou ter coordenado com a equipe do PHP, a OpenAI e a empresa de segurança cibernética Calif a descoberta da vulnerabilidade e a verificação da correção.
A empresa informou que também fez parceria com o Google Cloud, a Cloudflare , a AWS da Amazon , a Microsoft , a Automattic (operadora do WordPress.com) e outras empresas, como a Fastly , a Akamai , a Imperva e a Vercel, para proteger os clientes e preparar medidas de mitigação.
Em comunicado, a Casa Branca informou que tomou conhecimento da falha na sexta-feira.
“Essa descoberta demonstra exatamente por que a liderança norte-americana em SI é tão crucial”, afirmou a Casa Branca, referindo-se ao termo preferido pelo presidente Donald Trump para designar a inteligência artificial. “Essa é a inovação norte-americana fortalecendo nossa segurança nacional.”
SOFTWARE CRÍTICO
O PHP é uma linguagem de programação usada para executar sites. Quando um visitante carrega uma página, um servidor que executa PHP monta o conteúdo e o envia ao navegador. Trata-se de um software gratuito e de código aberto, mantido por voluntários.
Devido à sua onipresença — o PHP é executado em cerca de 75% dos sites cuja linguagem de programação pode ser identificada, de acordo com o rastreador de tecnologia da web W3Techs — e porque as vulnerabilidades são consideradas tão perigosas, os especialistas estão preocupados com um número potencialmente enorme de alvos fáceis. Campanhas de hacking assistidas por IA, que se proliferaram nas últimas semanas, só piorariam a situação, disse Lukasz Olejnik, pesquisador sênior visitante do King’s College London.
“A escala é enorme, e com a IA a exploração pode ocorrer instantaneamente, em grande escala”, disse Olejnik.
O risco é particularmente grave para pequenos sites administrados por pessoas físicas ou organizações com recursos técnicos limitados, muitas vezes em serviços de hospedagem compartilhada, nos quais os clientes não gerenciam diretamente os servidores subjacentes. Especialistas em segurança afirmaram que esses sites podem demorar mais para receber as correções e permanecerem expostos por um bom tempo após a disponibilização das correções.
INTERRUPÇÕES EM MASSA
Na Holanda, várias organizações seguiram o exemplo do Centro Nacional de Segurança Cibernética e tiraram do ar sites voltados para o público, incluindo o Porto de Roterdã, o portal governamental Overheid.nl, a federação nacional de futebol KNVB, os sites dos cinco maiores partidos políticos do país e vários sites de hospitais.
A empresa municipal dinamarquesa de TI Kombit informou ter desativado vários serviços, incluindo a plataforma nacional de comunicação escolar.
A interrupção foi ainda mais generalizada na Finlândia, onde a Valtori, provedora estatal de serviços de TI, informou que os serviços de rede pública do governo haviam sido retirados do ar “como medida de precaução”.
O Ministério do Interior da França informou que colocou todos os seus sites em manutenção preventiva. A provedora japonesa de serviços em nuvem Sakura Internet informou nesta quarta-feira que havia suspendido uma função de um dispositivo de banco de dados.
(Reportagem de Raphael Satter, Rajveer Singh Pardesi, Leo Marchandon, Deborah Sophia, Devika Nair e Shubham Kalia; Reportagem adicional de AJ Vicens, Anna Ringstorm, Toby Sterling e Charlotte Van Campenhout; )
Aviso