Fabrício Mainenti
RedatorEsta semana, constatamos (mais uma vez) que a internet está por um fio: duas falhas graves no PHP desencadearam uma corrida contra o tempo para proteger a web, que depende, em grande parte, dessa veterana linguagem de código aberto. O PHP sustenta aproximadamente 70% dos sites, segundo a W3Techs; diante de tal alcance, seria de se esperar que houvesse uma organização robusta por trás, mas não: a estrutura é extremamente precária.
Elizabeth Barron, diretora executiva, revelou à Reuters que conta com apenas uma funcionária em tempo integral (ela mesma) e 14 prestadores de serviço, a maioria em regime de tempo parcial. O conselho é composto por voluntários, e o financiamento provém de doações e subsídios. Ou seja, aquela imagem de banco de imagens que ilustra a capa deste artigo poderia, muito bem, ser real.
Cronologia de uma crise cercada de incertezas
O problema é antigo: a fundação identificou uma das vulnerabilidades ainda em 2024, durante uma revisão de segurança; na ocasião, não se encontrou um método de exploração conhecido, e a correção revelou-se complexa.
Em 2026, a vulnerabilidade foi descoberta externamente: a empresa de cibersegurança Calif alertou a equipe no dia 11 de agosto; a OpenAI também chegou à mesma conclusão por conta própria, e a Wiz informou a fundação no dia 24, após cinco dias de investigação. Em 20 de outubro, os identificadores das duas falhas vazaram, levando o projeto a antecipar a publicação em um dia, conforme relata Simon Willinson.
Um dia depois, a correção foi disponibilizada. Na sequência, a Cloudflare registrou milhões de tentativas de ataque, segundo relatou seu CEO à Reuters. Contudo, de acordo com Elizabeth Barron, a fundação não possui evidências de que alguém tenha explorado essas vulnerabilidades antes de sua divulgação pública, nem em sites que já haviam sido corrigidos.
Por outro lado, a Amazon afirma que seus sistemas de "isca" detectaram uma tentativa de ataque em 17 de outubro, originada de um endereço IP anonimizado. Não se sabe quem foi o autor nem como obteve conhecimento da falha. Vale ressaltar, porém, que não se tratava de um site real, mas sim de uma armadilha.
Por que isso importa
Considerando que as falhas estão no PHP, e não em um plugin, não basta atualizar o conteúdo: é necessário atualizar o PHP em cada servidor — um processo complexo, pois é preciso preservar a compatibilidade com aplicações e extensões.
No entanto, esse não é um problema estrutural que afeta apenas a internet (vale notar: quase 70% dos sites cuja linguagem de servidor é conhecida utilizam PHP), mas também empresas e instituições de todos os tipos. Barron é clara: dada a dependência de empresas e governos, o PHP está "incrivelmente subfinanciado".
O papel da IA
Como explica a diretora executiva da fundação, a inteligência artificial traz tanto benefícios quanto desafios. Por um lado, ela ajuda a equipe de pesquisa a encontrar essas falhas — presentes há uma década — e aumenta a eficiência das tarefas de programação, algo fundamental quando falta mão de obra.
Por outro, ela também aumenta a carga de trabalho das pessoas responsáveis pela manutenção, já que a tarefa de revisar possíveis alterações recai sobre um grupo restrito de profissionais experientes. O projeto PHP está recebendo quase o dobro de propostas de alteração de código em comparação com um ano atrás, mas "o número de colaboradores não dobrou", reconhece ela.
Imagem de capa | Christina Morillo
Texto traduzido e adaptado do portal parceiro Xataka Espanha
Ver 0 Comentários