Uma falha grave na linguagem de programação PHP, usada por milhões de sites, foi descoberta por IA. Embora o conserto já existisse, o vazamento da informação gerou uma corrida para atualizar sistemas no mundo inteiro, com milhões de tentativas de invasão.
Falhas recentes foram identificadas na popular linguagem de programação PHP, usada em um vasto número de sites em todo o mundo. Imagem: Getty Images
Zoe Kleinman: O PHP é o equivalente cibernético de uma bomba sem explosão. Eu costumava trabalhar em um local onde um centro de compras estava sendo construído. Fomos avisados de que poderiam ser descobertas bombas não explosivas da Segunda Guerra Mundial durante as obras. No final, não houve nenhuma, mas procedimentos foram estabelecidos como precaução e todos tivemos que praticar o abrigamento em zonas seguras designadas dentro do nosso prédio.
O caso do PHP parece ser o equivalente cibernético de uma bomba sem explosão. Nunca vi uma resposta pública e global tão dramática a um evento cibernético que ainda não aconteceu. Não houve nenhum ataque doloroso como o ransomware que vimos derrubar a M&S e a JLR em 2025. Mas a ameaça potencial é tão séria que sites ao redor do mundo foram desligados como precaução.
- Falha silenciosa: As vulnerabilidades na linguagem PHP existiam há anos, mas eram difíceis de explorar por humanos.
- Papel da IA: A inteligência artificial auxiliou os pesquisadores na descoberta desses bugs complexos.
- Corrida contra o tempo: A fundação do PHP lançou um correção, mas o vazamento da notícia acelerou as tentativas de ataque.
- Ação global: Milhões de tentativas de invasão foram registradas, segundo empresas como Cloudflare e Palo Alto Networks.
- Desafio para usuários: O conserto só funciona na versão mais recente do PHP, exigindo atualização imediata.
A corrida para corrigir falhas globais
Menos de dois meses atrás, 100 empresas de tecnologia escreveram uma carta aberta alertando o mundo para adotar um novo nível de resiliência cibernética na era da IA. Acontece que não tivemos que esperar muito tempo para descobrir o que eles queriam dizer. As fraquezas encontradas na linguagem de programação PHP, que é usada por milhões de sites, estavam repousando silenciosamente lá há anos e não são fáceis de explorar. Um pesquisador de segurança cibernética me disse que ele tinha passado a noite toda tentando fazer isso como um experimento, mas estava se provando muito difícil.
No entanto, coisas que são muito difíceis para humanos são cada vez menos problemáticas para a IA. A tecnologia está recebendo muito crédito por aqui por auxiliar os pesquisadores na descoberta dos bugs, e a fundação do PHP, que supervisiona a linguagem de programação, estava no caso e emitiu uma correção. Era suposto ser mantido em segredo até que todos tivessem a chance de corrigir seus sites - mas a notícia foi vazada. A partir daquele ponto, o relógio começou a tiquetaquear.
O dilema dos defensores digitais
Enquanto escrevo isso, não há relatórios de que alguém ou algo tenha tido sucesso em usar as falhas para atacar um site. "Há um dilema real", disse o Prof. Alan Woodward da Universidade de Surrey. "Como você alerta as pessoas de que precisam estar preparadas, e depois de que um patch é urgentemente necessário, sem alertar os atacantes Basicamente, você está dizendo a todos sobre o problema ao mesmo tempo e esperando que os defensores não estejam acordados o suficiente para agir assim que o patch sair."
Mas sabemos de grandes empresas da web, como Cloudflare e Palo Alto Networks, que milhões de tentativas foram feitas. Provavelmente não saberemos por um tempo se funcionou para alguns criminosos, porque as empresas afetadas podem nem estar cientes disso ainda. Tanto quanto sabemos, a bomba sem explosão permanece intacta por agora, e para alguns especialistas, isso é um sucesso.
Uma história de bom agendamento com IA
Gina Neff, Professora de IA Responsável na Queen Mary University, descreveu isso como uma história de boas notícias. "Vimos como uma equipe de pessoas apoiada pela grande empresa de IA usou IA para encontrar o problema, trabalhou por meses juntos para resolvê-lo e deixar todos prontos para estarem seguros", disse ela ao programa Today na BBC Radio 4. "Temos enorme capacidade de lidar com esses riscos."
Mas os vilões também podem usar IA, e essas mesmas ferramentas provavelmente estão girando agora tentando entrar. As autoridades de segurança cibernética estão alertando os proprietários de sites para corrigir as fraquezas imediatamente, mas o patch só funciona na versão mais recente do PHP, então sites mais antigos precisarão fazer upgrade primeiro. Para muitos, pode ser um trabalho de reparo significativo, então se houver um desenvolvedor web na sua vida, você pode querer enviar pensamentos, orações e talvez um café forte para eles.
