Falhas em programa usado por milhões de sites levam governos a suspender serviços - resenha crítica

Na quarta-feira (21), quem precisou acessar o sistema eletrônico pelo qual empresas e cidadãos acompanham processos administrativos da Anatel, a agência que regula as telecomunicações no Brasil, encontrou a página fora do ar. Na Justiça Federal da 4ª Região, que atende Rio Grande do Sul, Santa Catarina e Paraná, o acesso externo aos sistemas foi interrompido a partir das 11h. Em Minas Gerais, o Tribunal Regional Federal da 6ª Região suspendeu o expediente e os prazos processuais.

No mesmo dia, na Europa, saíram do ar o serviço de identidade digital usado pelos holandeses para acessar serviços do governo, sites de administrações locais na França, incluindo o da Prefeitura de Polícia de Paris, páginas de órgãos federais e estaduais na Alemanha e o site do Ministério das Relações Exteriores da Bélgica.

Os desligamentos foram preventivos, decididos por quem administra esses serviços, depois que duas falhas graves vieram a público em um programa que quase ninguém fora da área de tecnologia conhece pelo nome e do qual quase todo mundo depende sem saber.

O que é o PHP e por que falhas nele afetam tantos sites

O PHP é um programa que trabalha nos bastidores de boa parte dos sites, antes de as páginas aparecerem na sua tela. Quando você abre uma loja virtual, por exemplo, ele ajuda a buscar os produtos, atualizar o carrinho e mostrar as informações. Tudo isso acontece no computador que mantém o site funcionando, sem que você precise instalar nada.

É gratuito, de código aberto e mantido por voluntários e por uma fundação sem fins lucrativos, que se financia com contribuições. Segundo um serviço que mapeia tecnologias da web, quase 70% dos sites cuja linguagem de programação pode ser identificada usam PHP. Ele sustenta plataformas de publicação como WordPress, Drupal e Joomla, usadas em blogs, lojas, portais de notícias e sistemas de governo.

É daí que vem a gravidade. Como o PHP está presente em milhões de sites, uma falha no programa pode colocar muitos deles em risco; o tamanho do problema depende de quais versões estão instaladas e de quais sistemas já receberam a correção. As duas falhas receberam, cada uma, nota 9,2 numa escala de gravidade usada pelo setor de segurança, que vai até 10. A nota mede o quanto a falha é grave, não a chance de um site específico ser invadido. Em determinadas condições, alguém poderia usá-las pela internet, sem precisar de senha, para dar ordens ao computador que mantém o site funcionando. Isso pode permitir, por exemplo, acessar informações protegidas, alterar páginas ou instalar programas maliciosos. Um sistema ter a falha, porém, não significa que alguém tenha conseguido invadi-lo.

Como a inteligência artificial ajudou a revelar falhas antigas

As brechas não são novas: estão no código do PHP há cerca de vinte anos. Em 2024, segundo a fundação que mantém a linguagem, houve suspeita de uma delas, mas ninguém encontrou um caminho concreto para usá-la num ataque, e o assunto foi ofuscado por problemas mais evidentes.

A diferença foi a ajuda de novas ferramentas. Em agosto deste ano, duas empresas de segurança chegaram às falhas de forma independente, ambas usando modelos de inteligência artificial para analisar o código e investigar como as falhas poderiam ser usadas. A primeira, que trabalhava com a OpenAI e usou um modelo dela, relatou uma das falhas em 11 de agosto. A segunda, que pertence ao Google, relatou outra em 24 de agosto, com ferramentas próprias e modelos do Google e da OpenAI. Os pesquisadores da empresa do Google afirmaram que as descobertas "estão entre as vulnerabilidades mais graves já descobertas no PHP e, possivelmente, na história do software", e que as falhas existiam havia décadas, mas provar que podiam ser usadas num ataque exigiu uma sequência de etapas "no limite do que pesquisadores humanos poderiam alcançar na prática".

A mesma tecnologia vale para o outro lado. Antes, a dificuldade técnica protegia: era trabalhoso demais transformar uma brecha obscura em um ataque que funcionasse. A empresa do Google escreveu que essa proteção deixou de existir, porque, de forma geral, modelos de inteligência artificial ajudam a adaptar um ataque a versões e configurações diferentes do programa. Ou seja: as ferramentas que ajudam a encontrar e entender falhas também podem reduzir o trabalho de quem prepara ataques. Isso não quer dizer que todo ataque seja feito com inteligência artificial, nem que todos os sites com PHP estejam igualmente expostos. A fundação que mantém o PHP resumiu assim: "As ferramentas agora encontram falhas mais rápido do que nunca, para defensores e atacantes." Ela pediu uma resposta coordenada das empresas de tecnologia. Segundo o Guardian, a fundação mantém a linguagem com treze engenheiros, em tempo integral e parcial.

O vazamento antecipou a corrida para corrigir os sistemas

A regra combinada era de sigilo: as falhas ficariam secretas até a correção ficar pronta. Mas detalhes vazaram na terça-feira (20), um dia antes do previsto, e a divulgação pública foi antecipada.

E alguém já tinha tentado usar as falhas. A Amazon informou que, em 17 de outubro, quatro dias antes da divulgação, alguém tentou usá-las contra um de seus computadores preparados de propósito para receber ataques e ajudar a empresa a entender como eles funcionam. A conexão veio de um endereço que dificultava identificar sua origem, e a empresa disse não saber como a pessoa obteve a informação enquanto as falhas ainda estavam sob sigilo. O episódio mostra que houve uma tentativa antes da divulgação; não indica que os sistemas de governo citados neste texto tenham sido atacados.

O diretor de segurança da Amazon escreveu que o intervalo entre a correção e um ataque que funcione "está encolhendo por razões estruturais". Na avaliação dele, antes poucos grupos conseguiam construir o ataque e o resto esperava; com a ajuda da inteligência artificial, ficou mais barato transformar um aviso de segurança em ataque, e mais gente consegue agir "em horas ou até minutos". Horas antes da divulgação oficial, o diretor de tecnologia da Cloudflare, empresa que protege e distribui sites, avisava: "Estamos vendo ataques iniciais surgindo. Isso é apenas um paliativo. Atualizem assim que a equipe do PHP lançar a correção."

Por que governos e empresas suspenderam serviços

A Agência de Segurança Nacional dos EUA fez uma advertência pública rara, recomendando que organizações que não conseguissem atualizar imediatamente tirassem os sistemas do ar. Órgãos de segurança digital de vários países, da Europa à Ásia, fizeram alertas parecidos. No Brasil, o centro de resposta a incidentes do governo federal, ligado ao Gabinete de Segurança Institucional, pediu que as instituições identificassem os sistemas que usam PHP, instalassem as correções e, se não conseguissem atualizar, avaliassem suspender o acesso externo, ou seja, impedir temporariamente que o sistema seja acessado pela internet. Eram recomendações, não ordens.

Vários governos e empresas suspenderam serviços temporariamente, como precaução. Na Holanda, até o centro nacional de cibersegurança tirou o próprio site do ar, e o Porto de Roterdã e hospitais fizeram o mesmo. Finlândia e Dinamarca também isolaram serviços públicos.

Vale separar duas coisas que se confundem. Um sistema ter a falha não significa que alguém tenha conseguido invadi-lo. Da mesma forma, tirar um site do ar pode ser uma medida de proteção, e não uma prova de que houve ataque. Até agora não há confirmação pública de invasão nos órgãos brasileiros que suspenderam serviços.

A correção existe, mas o problema não acabou

As versões corrigidas foram publicadas na quarta-feira, mas publicar a correção não significa que todos os sites já a instalaram. Segundo os desenvolvedores, não há solução provisória completa, e atualizar é a única opção segura. As barreiras de proteção instaladas na frente dos sites podem bloquear parte dos ataques, mas não removem o defeito.

O risco pode durar semanas ou meses. Algumas versões antigas do PHP já não recebem atualizações regulares, e sites que não são bem mantidos podem continuar vulneráveis mesmo depois de a correção existir. Um professor de cibersegurança ouvido pelo Guardian disse esperar "semanas e meses de ataques em curso" por causa do grande número de sites que ainda pode demorar a receber a correção. Outro, de sistemas de informação, chamou atenção para o lado menos visível: "A preocupação maior são os sites que não estão fora do ar hoje." Isso não quer dizer que todo site no ar esteja vulnerável: o que define o risco é a correção ter sido instalada, não o site estar no ar.

O que fazer com essa informação

Se você apenas navega, não precisa instalar nada no seu aparelho por causa dessa falha. O problema está no PHP que funciona nos computadores que mantêm os sites, não no navegador de quem visita. Vale acompanhar, nos próximos dias, os avisos dos serviços que você usa, como bancos, lojas e órgãos públicos, sobre indisponibilidade e correções. Um serviço fora do ar pode estar sendo protegido, e não necessariamente ter sido invadido.

Se você tem um site, mesmo um blog simples, vale separar duas camadas. Uma é o sistema que você usa para publicar, como o WordPress, com os complementos instalados nele. A outra é o PHP, o programa que roda por baixo, no computador que guarda o site. A falha está na segunda, por isso atualizar o WordPress não resolve. Quem cuida dessa segunda camada depende de como o site é mantido. Se você usa uma empresa de hospedagem, confirme com ela quem é responsável pela atualização, porque nem todo contrato a atribui à empresa, e pergunte se a correção já foi instalada. Se você mesmo administra o computador do site, a atualização é sua. As autoridades recomendaram que organizações incapazes de instalar a correção a tempo avaliassem tirar os sistemas do ar. Isso não significa que todo site precise ser desligado: a medida depende da situação e das orientações aplicáveis.

Você sabe quem é responsável por atualizar os sistemas dos sites e serviços digitais de que depende?