Uma vulnerabilidade crítica no PHP, infraestrutura básica de mais da metade da internet, acendeu um alerta máximo na cibersegurança global nesta quinta-feira (dia 22). O PHP é uma das linguagens de programação mais populares para criar sites e pode ser descrito como o "motor" invisível que dá vida a quase 70% de tudo o que acessamos na web. No Brasil, a ameaça forçou alguns órgãos governamentais a desligarem preventivamente o acesso externo ao Sistema Eletrônico de Informações (SEI).
Diferente de um site estático, que apenas exibe um texto fixo para qualquer visitante, como um panfleto digital, o PHP permite a criação de páginas dinâmicas. É essa linguagem de programação que vai até o banco de dados do servidor para verificar se a sua senha está correta, carregar o seu histórico de compras em uma loja virtual ou atualizar as informações em tempo real.
Espinha dorsal
Por ser a espinha dorsal de sistemas gerenciadores de conteúdo populares, como o WordPress, qualquer falha em sua estrutura coloca a rede mundial em risco. Órgãos como a Agência Nacional de Telecomunicações (Anatel), e Cortes de Justiça, incluindo os Tribunais Regionais Federais (TRFs) da 1ª, 4ª e 6ª regiões foram afetadas.
A medida de tirar do ar a principal plataforma de processos administrativos do país teve como objetivo blindar os servidores contra invasões e roubo de dados enquanto as equipes de TI tentam aplicar correções. A decisão de suspender serviços não significa que o governo brasileiro sofreu um ataque, mas reflete a potencial gravidade do cenário. Sem a necessidade de senhas, criminosos poderiam explorar a brecha para acessar diretamente os bancos de dados dos servidores afetados.
Para conter o risco
Para conter o risco, o Centro Integrado de Segurança Cibernética do Governo Digital (CISC) e o Gabinete de Segurança Institucional (GSI) emitiram alertas emergenciais na quarta-feira (21), orientando toda a Administração Pública Federal a atualizar seus sistemas. O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) também recomendou a retirada temporária do ar de qualquer plataforma estatal desenvolvida sob a linguagem vulnerável até que a segurança seja atestada.
O movimento de contenção também se repetiu no exterior. No Reino Unido, dezenas de serviços públicos amanheceram inacessíveis. Autoridades britânicas trataram as quedas como medidas estritas de precaução, religando os sistemas gradativamente ao longo do dia após as devidas auditorias.
Fator IA
O descobrimento dessa falha coloca em pauta uma nova era na segurança digital, marcada pelo uso de inteligência artificial para explorar fragilidades. Pesquisadores de empresas como Wiz e Calif, apoiados por tecnologias da OpenAI e do Google, utilizaram modelos avançados de IA para vasculhar o código do PHP e acabaram encontrando falhas profundas que passaram despercebidas por mais de uma década.
A descoberta foi mantida sob sigilo absoluto até que as correções fossem desenvolvidas, evitando alertar hackers. O perigo da IA, como apontam analistas do setor, é que a mesma ferramenta capaz de varrer a internet em busca de brechas para protegê-la pode ser usada por criminosos para automatizar ataques em questão de segundos assim que a vulnerabilidade se torna pública. Para Marcelo Branquinho, CEO da TI Safe, empresa brasileira especializada em cibersegurança, a introdução da IA altera radicalmente a dinâmica entre defesa e ataque.
— A inteligência artificial reduz o tempo e o esforço necessários tanto para descobrir vulnerabilidades quanto para transformá-las em ataques. A mesma capacidade pode ser usada por criminosos para adaptar investidas a diferentes ambientes — explica o especialista.
Segundo ele, a automação facilitada pela IA torna as tentativas de invasão em larga escala muito mais acessíveis, embora pondere que o volume de tentativas não se traduza, automaticamente, em invasões bem-sucedidas.
— Milhares de tentativas não equivalem a milhares de invasões. Sem evidências sobre os resultados, não é correto afirmar que todos os sites identificados por uma varredura serão comprometidos.
Controle de servidores
Segundo a Agência de Segurança Nacional dos Estados Unidos, as falhas descobertas "frequentemente oferecem acesso direto ao sistema de arquivos ou ao banco de dados do servidor", o que potencialmente permite que um hacker assuma o controle desses servidores sem sequer precisar digitar uma senha.
Já existem relatos preliminares, identificados por equipes de inteligência de ameaças da Amazon, de tentativas de exploração dessas brechas antes mesmo do anúncio oficial, levantando suspeitas sobre como os invasores obtiveram acesso antecipado aos dados.
Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, ficaram inacessíveis a partir da tarde de quarta-feira, a pedido da Agência Nacional de Cibersegurança francesa. Segundo o Ministério do Interior, a medida foi tomada após a "detecção de uma vulnerabilidade crítica de segurança".
Apagões preventivos
Um dos maiores temores da comunidade de TI é o impacto dessa vulnerabilidade em sistemas legados, aqueles que rodam em versões antigas do PHP que, em teoria, não recebem mais suporte. Branquinho afirma que o problema estrutural de prefeituras e órgãos com poucos recursos é real, esbarrando em aplicações defasadas, falta de equipes e ausência de inventário tecnológico. Diante desse cenário de incertezas, desligar temporariamente um sistema, como fizeram a Anatel e os tribunais, é visto pelo especialista como uma ação sensata.
— Retirar temporariamente o acesso público pode ser uma decisão técnica responsável quando não é possível corrigir o ambiente com segurança e rapidez — afirma o CEO da TI Safe, destacando que a interrupção não comprova que a arquitetura do órgão é ruim, mas serve como um teste de fogo para os planos de continuidade de atendimento à população.
Para os pequenos e médios negócios que utilizam plataformas como o WordPress em provedores de hospedagem compartilhada, a responsabilidade técnica recai sobre o fornecedor do serviço. Atualizar apenas os "plugins" do site não resolve o problema.
— Quando o provedor administra o PHP, a correção cabe a ele. Já o dono do site deve acionar o suporte e cobrar confirmação de que o ambiente foi corrigido. Terceirizar a hospedagem não elimina os deveres da empresa em relação aos dados de seus clientes — alerta Branquinho.
O Brasil está preparado para responder em bloco?
Questionado se o Brasil atua de forma unificada diante de crises cibernéticas dessa magnitude, Branquinho explica que o país possui, sim, uma estrutura formal: a Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC), coordenada pelo Gabinete de Segurança Institucional (GSI).
— Não seria correto afirmar que cada órgão está inteiramente sozinho. Mas também seria incorreto apresentar essa estrutura como uma equipe central que atualiza e protege todos os sistemas públicos do país — pondera.
Para o especialista, enquanto a participação na rede é obrigatória para a esfera federal, estados e municípios dependem de adesão.
— O desafio está em transformar a coordenação em capacidade operacional. A existência da rede não comprova que essa capacidade seja uniforme entre os órgãos, e os desligamentos preventivos, por si só, também não permitem concluir que houve falha de coordenação.
