Num mundo em que quase tudo depende de software que ninguém vê, uma falha de décadas veio à superfície e fez tremer a presença digital de governos europeus. Na quarta-feira, 21 de outubro, sites oficiais de vários países saíram do ar enquanto seus operadores corriam para fechar duas brechas críticas no PHP, a linguagem invisível que монта páginas para boa parte da internet. O que se revela é a fragilidade de uma infraestrutura construída por voluntários e herdada por milhões de donos que nunca a examinaram, e também o fato de que a própria inteligência artificial passou a encontrar os erros qu
PHP: falhas críticas com nota 9,2 tiram sites governamentais europeus do ar
Quem explora a brecha passa a controlar o site
Mark
Por que um problema numa linguagem de programação derruba sites de governo?
Mimi
Porque o PHP roda por trás de quase 70% dos sites com linguagem identificável. Uma só falha abre a mesma porta em milhões de servidores.
Mark
O que significa a nota 9,2?
Mimi
É a gravidade no CVSS v4.0. Segundo o CERT-EU, indica execução remota de código sem autenticação: o invasor manda comandos sem senha nem conta.
Luke
Vale separar o que está confirmado. A nota e a orientação do CERT-EU são dados concretos. Já a frase de que os primeiros ataques estão surgindo vem do diretor de tecnologia da Cloudflare, e a fonte não traz números.
Mark
E quem está mais exposto?
Mimi
Os sites pequenos em hospedagem compartilhada. O dono muitas vezes não sabe quem atualiza o PHP, e o Wordfence avisou que a atualização automática não vai aplicar essa correção.
Luke
A fonte também não diz quantos sites europeus saíram do ar nem quais governos. Sabemos que foram vários, não o tamanho do estrago.
Mark
Como as falhas foram achadas?
Mimi
Com ajuda de IA. A Calif, com a OpenAI, reportou a primeira em 11 de agosto. A Wiz achou as suas de forma independente e reportou a segunda em 24 de agosto.
Luke
E a frase de que estão entre as mais graves da história do software é da própria Wiz, que descobriu as falhas. É uma avaliação de parte interessada, não um consenso.
Il Polso
- Duas falhas no PHP, com nota 9,2 de 10, permitem que invasores executem comandos em servidores sem senha nem conta.
- Sites de governos em vários países da Europa caíram do ar enquanto operadores tentavam conter a exposição.
- Pequenos sites em hospedagem compartilhada podem não receber a correção automaticamente e continuam vulneráveis.
- A Cloudflare afirma que os primeiros ataques já aparecem, e o CERT-EU orienta tirar do ar quem não conseguir aplicar o patch.
- Os desenvolvedores prometem correções, e os EUA coordenam com laboratórios de IA para acelerar a entrega.
Num mundo em que quase tudo depende de software que ninguém vê, uma falha de décadas veio à superfície e fez tremer a presença digital de governos europeus. Na quarta-feira, 21 de outubro, sites oficiais de vários países saíram do ar enquanto seus operadores corriam para fechar duas brechas críticas no PHP, a linguagem invisível que монта páginas para boa parte da internet. O que se revela é a fragilidade de uma infraestrutura construída por voluntários e herdada por milhões de donos que nunca a examinaram, e também o fato de que a própria inteligência artificial passou a encontrar os erros que os humanos deixaram passar. A orientação das autoridades é simples e dura: quem não puder proteger o site deve retirá-lo do ar até que a correção chegue.
Na quarta-feira, 21 de outubro, sites de governos em vários países da Europa saíram do ar. Os operadores tentavam corrigir duas vulnerabilidades críticas no PHP, linguagem de programação gratuita e mantida por voluntários que roda em quase 70% dos sites cuja tecnologia pode ser identificada. Ela também sustenta o WordPress, usado por cerca de 40% de todos os sites, de blogs a portais oficiais e lojas online.
As falhas receberam nota 9,2 em 10 e permitem que alguém rode comandos em um servidor exposto à internet sem precisar de senha. Quem explora a brecha pode roubar dados, vandalizar páginas ou assumir o controle total do sistema. Os desenvolvedores do PHP anunciaram que lançarão correções, mas o caminho até elas chegarem a cada site ainda é longo.
O maior risco recai sobre os pequenos. Muitos donos não têm equipe de segurança e, em hospedagem compartilhada, nem controlam o servidor. O Wordfence alertou que as atualizações automáticas habituais não cobrirão esta correção, por isso o CERT-EU recomenda tirar do ar os sites que não puderem ser protegidos.
A descoberta teve participação da inteligência artificial. Pesquisadores da Calif, com a OpenAI, relataram a primeira falha em 11 de agosto, e a Wiz, da Alphabet, encontrou as falhas de forma independente. Para a Wiz, estão entre as vulnerabilidades mais graves já achadas no PHP, e talvez na história do software. Enquanto a correção não chega a todos, a recomendação segue a mesma: fechar a porta até que o reparo esteja aplicado.
Na quarta-feira, 21 de outubro, sites de governos em vários países da Europa ficaram fora do ar enquanto seus operadores tentavam corrigir duas vulnerabilidades críticas no PHP, uma das linguagens de programação mais usadas da internet. Os desenvolvedores do PHP anunciaram no mesmo dia que lançarão correções para as duas falhas. As autoridades de segurança da União Europeia aconselharam as organizações que não conseguissem aplicar os reparos a retirar os sites afetados do ar.
O PHP trabalha nos bastidores. Quando alguém abre uma página, o servidor que executa o PHP monta o conteúdo e entrega ao navegador a página pronta. A linguagem é gratuita, de código aberto e mantida por voluntários, e os donos de sites raramente lidam diretamente com ela. Segundo o rastreador W3Techs, ela está presente em quase 70% dos sites cuja linguagem pode ser identificada. Também move o WordPress, plataforma em que se apoiam cerca de 40% de todos os sites: blogs, páginas de pequenas empresas, portais governamentais, lojas online e veículos de notícias.
As duas falhas receberam nota 9,2 em 10 na escala CVSS v4.0, padrão de pontuação usado pelo setor. O CERT-EU, equipe de resposta a incidentes de segurança da União Europeia, explicou que a nota indica execução remota de código sem autenticação. Na prática, um invasor consegue rodar comandos em um servidor vulnerável pela internet, sem precisar de senha nem de conta. Quem explora a brecha passa a controlar o site. A GoDaddy, provedora de hospedagem, listou as consequências possíveis: roubo de dados, páginas vandalizadas ou comprometimento total do sistema. O diretor de tecnologia da Cloudflare afirmou que os primeiros ataques já estão aparecendo.
O problema é maior entre os sites pequenos. Em geral, eles são administrados por donos sem equipe de segurança, muitas vezes em hospedagem compartilhada, onde não controlam o servidor e podem nem saber quem atualiza o PHP. O Wordfence, plugin de segurança para WordPress, alertou que as atualizações automáticas habituais não aplicarão esta correção. Por isso a orientação do CERT-EU é tirar do ar os sites afetados, em vez de deixá-los expostos.
A descoberta teve o dedo da inteligência artificial. Pesquisadores da empresa de segurança Calif, em colaboração com a OpenAI, relataram a primeira falha ao grupo desenvolvedor do PHP em 11 de agosto, depois de identificá-la com o modelo GPT-5.6 Sol, segundo a empresa. A Wiz, companhia de segurança da Alphabet, encontrou as falhas de forma independente e relatou um segundo problema em 24 de agosto, também com modelos de inteligência artificial.
Para a Wiz, as descobertas estão entre as vulnerabilidades mais graves já encontradas no PHP e, possivelmente, na história do software. As falhas existem há décadas, disse a empresa, mas demonstrar que podiam ser exploradas exigiu uma sequência de etapas no limite do que pesquisadores humanos conseguiriam fazer na prática.
O governo dos Estados Unidos informou que acompanha o caso e coordena com agências federais e com os principais laboratórios de inteligência artificial para acelerar o lançamento da correção. Até que ela chegue e seja aplicada, a recomendação para sites que não puderem se proteger continua sendo ficar offline.
Citazioni salienti
As descobertas estão entre as vulnerabilidades mais graves já descobertas no PHP e, possivelmente, na história do software.— Wiz, empresa de segurança da Alphabet
Sites afetados que não puderem ser corrigidos devem ser tirados do ar, em vez de ficarem expostos.— CERT-EU (paráfrase)
Vuoi la storia completa?
Leggi l'originale su InfoMoney ↗
General News