Vulnerabilidades Graves no PHP Levam Governos e Empresas a Tirar Sites do Ar
Duas falhas críticas na linguagem de programação PHP, avaliadas em 9,2 de 10 em gravidade, forçaram governos e empresas a desativar seus sites nesta semana. A popularidade do PHP, utilizado em 69,3% dos sites com linguagem de servidor conhecida, amplifica o impacto dessas vulnerabilidades. Especialistas da FIAP e Sophos ressaltam a urgência das atualizações, destacando os complexos desafios de compatibilidade em sistemas legados e a necessidade de identificar todas as instâncias vulneráveis para garantir a segurança.
:quality(85)/57be5b87-24fb-4c17-853e-b66460064cc3.png)
SÃO PAULO, SP - Duas falhas graves na linguagem de programação PHP levaram governos e empresas a tirar sites do ar nesta quarta-feira (21). A dimensão do problema é significativa devido à vasta popularidade da linguagem, criada há mais de 30 anos e utilizada por 69,3% dos sites cuja linguagem de servidor é conhecida, segundo levantamento da W3Techs.
O PHP atua nos servidores, sendo responsável por processar informações antes que elas sejam exibidas no navegador. Em um exemplo prático, como uma loja virtual, a linguagem pode ser empregada para consultar produtos, atualizar o carrinho de compras e interagir com o banco de dados.
A Popularidade Duradoura do PHP
Em entrevista ao Canaltech, Rafael Silva, coordenador acadêmico da FIAP, explicou que a popularidade do PHP está ligada ao baixo custo de desenvolvimento, à facilidade de encontrar serviços de hospedagem e ao crescimento de plataformas como o WordPress. Criado por Rasmus Lerdorf em 1994 e disponibilizado publicamente em 1995, o PHP cresceu junto com a expansão da internet, quando empresas buscavam maneiras simples e baratas de desenvolver seus primeiros sites. Segundo Silva, essa facilidade de adoção foi um dos principais fatores para a ampla popularização da linguagem.
O professor também ressalta o papel do WordPress, um sistema de gerenciamento de conteúdo que utiliza PHP e está presente em aproximadamente 39,6% dos sites da internet, conforme a W3Techs. Com essa expansão, um mercado robusto de empresas de hospedagem, desenvolvedores e ferramentas especializadas foi estabelecido, facilitando a criação e manutenção de aplicações.
“Quando uma tecnologia funciona bem, tem um custo acessível e atende às necessidades do negócio, não existe necessariamente um motivo para substituí-la”, afirmou Silva. Essa estrutura também justifica por que empresas ainda escolhem PHP para desenvolver sites, portais de notícias e lojas virtuais, dada a grande quantidade de profissionais disponíveis e os serviços de hospedagem acessíveis, o que pode reduzir os custos de desenvolvimento e manutenção. Contudo, a escolha final depende das necessidades de cada projeto, e linguagens como Python e JavaScript também oferecem características e vantagens diferentes para o desenvolvimento web.
Os Desafios da Manutenção e Atualização em Sistemas Antigos
Apesar de ter mais de três décadas de história, o PHP passou por diversas atualizações que aprimoraram seu desempenho, segurança e recursos para os desenvolvedores. Para Silva, os problemas surgem principalmente quando empresas continuam a usar aplicações antigas sem acompanhar a evolução da linguagem.
Sistemas desenvolvidos há 10 ou 15 anos podem acumular dependências e integrações que tornam sua manutenção mais complexa. Isso não implica que uma linguagem antiga seja inerentemente menos segura; tecnologias mais recentes também podem apresentar vulnerabilidades críticas, e sistemas legados podem operar com segurança se receberem a manutenção adequada. O caso desta semana, no entanto, demonstrou que até linguagens amplamente utilizadas e analisadas por especialistas podem esconder problemas graves por anos. Segundo Silva, a inteligência artificial está transformando esse cenário ao acelerar a análise de códigos e a identificação de vulnerabilidades.
A Complexidade da Implementação de Correções
Um dos principais desafios reside na quantidade de sistemas que dependem do PHP e que precisam continuar operando após uma atualização. Silva exemplifica com uma loja virtual criada há uma década, que pode integrar dezenas de plugins, sistemas de pagamento, ferramentas de estoque e funcionalidades desenvolvidas especificamente para uma versão particular da linguagem. Uma atualização pode provocar incompatibilidades em alguns desses componentes e, dependendo do problema, interromper as vendas. Por essa razão, empresas sem equipes ou ambientes preparados para testar as mudanças podem adiar a instalação de novas versões. O professor ressalta, contudo, que nem toda atualização exige uma migração completa; muitas correções de segurança podem ser aplicadas com impacto menor sobre as aplicações.
Identificação e Gerenciamento de Instâncias Vulneráveis
Outro desafio é identificar todos os sistemas que utilizam PHP dentro de uma organização. “O desafio imediato não é apenas instalar uma correção, mas identificar e gerenciar todas as instâncias em que o PHP está em execução”, afirma Don Smith, vice-presidente de Inteligência de Ameaças da Sophos CTU. Segundo o especialista, a linguagem pode estar presente em plataformas de hospedagem, sistemas de gerenciamento de conteúdo e produtos de terceiros, sem que isso seja evidente para os responsáveis pela infraestrutura.
As duas vulnerabilidades divulgadas nesta semana receberam nota 9,2 de 10 em gravidade e podem permitir a execução de comandos maliciosos em servidores. Os desenvolvedores do PHP já disponibilizaram quatro versões corrigidas: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. A recomendação para os administradores é identificar as instalações vulneráveis e aplicar as atualizações imediatamente. Quando isso não for possível, a Sophos orienta isolar os sistemas afetados da internet até que possam ser devidamente protegidos.