Numa quarta-feira qualquer, parte das vitrines digitais de governos europeus simplesmente se apagou, e a causa não estava na tela, mas numa engrenagem que quase ninguém vê: o PHP, a linguagem invisível que monta boa parte da web antes de cada página chegar ao leitor. Duas falhas graves, capazes de permitir que alguém controle um servidor sem senha nem conta, forçaram operadores e autoridades a escolher entre a exposição e o silêncio temporário. Num mundo em que tanta coisa pública depende de software gratuito mantido por voluntários, a lição é antiga e incômoda: a fragilidade de um alicerce co
Falhas críticas no PHP tiram sites de governo do ar na Europa; correção está em andamento
Quem explorar a falha controla o site.
Mark
Por que um problema no PHP derruba sites de governo?
Mimi
Porque o PHP monta as páginas no servidor. Se o servidor pode ser controlado de fora, o órgão prefere desligar o site a deixá-lo exposto.
Luke
Vale separar: a recomendação de tirar do ar vem do CERT-EU. Os sites fora do ar são o fato relatado, mas a fonte não detalha quais governos nem quantos.
Mark
O que significa a nota 9,2?
Mimi
Que um invasor pode executar comandos no servidor pela internet, sem senha nem conta. É o que o CERT-EU descreve.
Luke
Nota alta mede gravidade potencial, não ataques confirmados em escala. Sobre ataques, só temos a fala do diretor de tecnologia da Cloudflare de que os primeiros já surgem.
Mark
Quem corre mais risco?
Mimi
Os sites pequenos em hospedagem compartilhada. O dono pode nem saber quem atualiza o PHP, e o Wordfence avisa que a atualização automática comum não cobre esta correção.
Luke
E a afirmação de que são das falhas mais graves da história do software é da Wiz, empresa que as achou. É uma avaliação de parte interessada.
Mark
E o papel da inteligência artificial?
Mimi
Calif, com a OpenAI, e a Wiz usaram modelos de IA para achar as falhas, em 11 e 24 de agosto.
Luke
Isso é o que as empresas dizem. Ainda não há data confirmada para a correção, só a promessa de lançamento.
Il Polso
- Duas falhas no PHP, com gravidade 9,2 em 10, abrem caminho para invasores executarem comandos em servidores expostos à internet.
- Sites de governo em vários países europeus saíram do ar enquanto equipes corriam para conter o estrago antes que os ataques se espalhem.
- As autoridades da UE pediram que organizações sem capacidade de atualizar de imediato retirem seus sites do ar, aceitando o apagão como mal menor.
- Pequenos sites e hospedagens compartilhadas, onde o dono não controla o servidor, seguem vulneráveis, pois as atualizações automáticas habituais não cobrem a correção.
- Os primeiros ataques já aparecem, e a corrida agora é entre a chegada da correção aos servidores e a velocidade de quem quer explorar as brechas.
Numa quarta-feira qualquer, parte das vitrines digitais de governos europeus simplesmente se apagou, e a causa não estava na tela, mas numa engrenagem que quase ninguém vê: o PHP, a linguagem invisível que monta boa parte da web antes de cada página chegar ao leitor. Duas falhas graves, capazes de permitir que alguém controle um servidor sem senha nem conta, forçaram operadores e autoridades a escolher entre a exposição e o silêncio temporário. Num mundo em que tanta coisa pública depende de software gratuito mantido por voluntários, a lição é antiga e incômoda: a fragilidade de um alicerce comum pode derrubar, de uma só vez, muitas casas que nunca souberam que dividiam a mesma fundação.
Na quarta-feira, sites de governo em vários países da Europa deixaram de abrir. A causa estava longe da vista de quem navega: duas vulnerabilidades críticas no PHP, uma das linguagens mais usadas da internet, e operadores correndo para conter o problema antes que a correção chegasse.
Os desenvolvedores do PHP anunciaram que lançarão correções para as duas falhas. Até lá, autoridades de segurança da União Europeia pediram que organizações incapazes de atualizar seus sistemas retirem os sites do ar. É uma decisão desconfortável, mas preferível a deixá-los expostos.
O PHP trabalha nos bastidores, montando o conteúdo das páginas antes que cheguem ao navegador. Roda em quase 70% dos sites cuja linguagem pode ser identificada e move o WordPress, base de cerca de 40% da web, incluindo portais públicos, lojas e veículos de notícias.
As falhas receberam nota 9,2 em 10 na escala de gravidade. Permitem que um invasor execute comandos num servidor vulnerável sem senha nem conta, o que pode resultar em roubo de dados, páginas vandalizadas ou controle total do sistema. Já há sinais de ataques em curso.
O maior risco recai sobre sites pequenos, muitas vezes em hospedagem compartilhada, onde o dono nem sabe quem atualiza o PHP. As atualizações automáticas habituais não aplicarão esta correção, o que torna o trabalho manual urgente.
A descoberta veio de pesquisadores da Calif, em parceria com a OpenAI, e da Wiz, companhia de segurança da Alphabet, que encontraram as falhas de forma independente com ajuda de modelos de inteligência artificial. Segundo a Wiz, elas estão entre as mais graves já achadas no PHP e talvez na história do software, embora existam há décadas.
O governo dos Estados Unidos disse acompanhar o caso e coordena agências e laboratórios de IA para acelerar a correção. A pergunta que resta é quanto tempo levará até que o conserto chegue aos servidores mais frágeis, justamente os que não podem esperar.
Na quarta-feira, sites de governo em vários países da Europa simplesmente deixaram de abrir. O motivo estava longe da vista de quem navega: duas vulnerabilidades críticas no PHP, uma das linguagens de programação mais usadas da internet, e operadores que corriam para conter o problema antes que a correção chegasse.
Os desenvolvedores do PHP anunciaram no mesmo dia que lançarão correções para as duas falhas. Enquanto elas não são aplicadas, autoridades de segurança da União Europeia pediram às organizações que não conseguirem atualizar seus sistemas que retirem do ar os sites afetados.
O PHP trabalha nos bastidores. Quando alguém abre uma página, o servidor que executa o PHP monta o conteúdo e entrega o resultado pronto ao navegador. É gratuito, de código aberto e mantido por voluntários, e os donos de sites raramente lidam com ele de forma direta. Segundo o rastreador W3Techs, roda em quase 70% dos sites cuja linguagem pode ser identificada. Também move o WordPress, base de cerca de 40% de todos os sites: blogs, páginas de pequenas empresas, portais governamentais, lojas online e veículos de notícias.
As duas falhas receberam nota 9,2 em 10 na escala CVSS v4.0, padrão do setor para medir gravidade. O CERT-EU, equipe de resposta a incidentes de segurança da UE, explicou que essa pontuação indica execução remota de código sem autenticação: um invasor pode rodar comandos num servidor vulnerável pela internet, sem senha nem conta. A GoDaddy, provedora de hospedagem, afirmou que isso pode levar a roubo de dados, páginas vandalizadas ou comprometimento total do sistema. O diretor de tecnologia da Cloudflare disse que os primeiros ataques já estão surgindo.
O risco é maior para os sites pequenos, geralmente administrados por donos sem equipe de segurança e, muitas vezes, em hospedagem compartilhada, onde não controlam o servidor e podem nem saber quem atualiza o PHP. O Wordfence, plugin de segurança para WordPress, alertou que as atualizações automáticas habituais não aplicarão esta correção. Por isso, a orientação do CERT-EU é tirar do ar os sites afetados em vez de deixá-los expostos.
Quanto à descoberta, pesquisadores da empresa de segurança Calif, em colaboração com a OpenAI, relataram a primeira falha ao grupo desenvolvedor do PHP em 11 de agosto, depois de identificá-la com o modelo GPT-5.6 Sol, segundo a própria empresa. A Wiz, companhia de segurança da Alphabet, encontrou as falhas de forma independente e relatou um segundo problema em 24 de agosto, também com modelos de inteligência artificial.
A Wiz afirmou que as descobertas estão entre as vulnerabilidades mais graves já encontradas no PHP e, possivelmente, na história do software. Segundo a empresa, as falhas existem há décadas, mas demonstrar que podiam ser exploradas exigiu uma sequência de etapas no limite do que pesquisadores humanos conseguiriam na prática.
O governo dos Estados Unidos disse que acompanha o caso e coordena com agências federais e com os principais laboratórios de inteligência artificial para acelerar a liberação da correção. O que fica por observar é a rapidez com que o conserto chegará aos servidores, sobretudo aos de hospedagem compartilhada, onde a atualização automática não resolve.
Citazioni salienti
As descobertas estão entre as vulnerabilidades mais graves já descobertas no PHP e, possivelmente, na história do software.— Wiz, empresa de segurança da Alphabet
As atualizações automáticas habituais não aplicarão essa correção.— Wordfence, plugin de segurança para WordPress
Vuoi la storia completa?
Leggi l'originale su Terra ↗
General News