Sites governamentais em toda a Europa ficaram fora do ar na quarta-feira (21) enquanto operadores corriam para corrigir duas vulnerabilidades críticas no PHP, uma das linguagens de programação mais utilizadas na web.

Serviços governamentais no Brasil também foram suspensos preventimente para a correção das falhas.

A linguagem de programação é responsável por cerca de 70% dos sites no mundo. Segundo cientistas que participaram da descoberta, a vulnerabilidade estava presente no software da empresa há anos, de forma oculta.

O que é PHP?

PHP é uma linguagem de programação que executa sites. Ela funciona nos bastidores: quando um usuário carrega uma página, o servidor que executa o PHP monta o conteúdo e envia a página finalizada para o navegador.

É gratuito, de código aberto e mantido por voluntários. Os proprietários do site raramente interagem diretamente com ele.

De acordo com a W3Techs, empresa que monitora tecnologias web, o PHP é a linguagem utilizada em quase 70% de todos os sites cuja linguagem de programação pode ser identificada. Ele funciona, por exemplo, no WordPress, que alimenta cerca de 40% de todos os sites, como blogs, páginas de pequenas empresas, portais governamentais, lojas online e sites de notícias.

Quais são os riscos das falhas?

As duas vulnerabilidades identificadas receberam uma classificação de 9,2 em 10 na escala de gravidade CVSS v4.0, um sistema de pontuação padrão do setor.

O CERT-EU, a equipe de resposta a incidentes de segurança cibernética da União Europeia, afirmou que essa classificação indica execução remota de código não autenticada, o que significa que um invasor pode executar comandos em um servidor vulnerável, pela internet, sem senha ou conta.

Uma única falha no PHP abre a mesma porta em milhões de servidores simultaneamente. Quem explora essa falha controla o site.

O provedor de hospedagem web GoDaddy disse que isso poderia significar roubo de dados, páginas adulteradas ou comprometimento total do sistema. ‌

A maioria dos sites pequenos geralmente é administrada por proprietários sem equipe de segurança, frequentemente em hospedagens compartilhadas onde não gerenciam o servidor e podem não saber quem atualiza o PHP.

O Wordfence, um plugin de segurança para sites WordPress, alertou que as atualizações automáticas não incluirão essa correção. A recomendação do CERT-EU é tirar os sites afetados do ar em vez de deixá-los expostos.

Como a falha foi encontrada?

Pesquisadores da empresa de segurança Calif, em colaboração com a OpenAI, relataram a primeira falha no PHP em 11 de agosto. Ela foi encontrada usando o modelo GPT-5.6 Sol da OpenAI.

A Wiz, empresa de segurança pertencente ao Google, também investigou o problema e descobriu as falhas de forma independente. A organização relatou uma segunda detecção em 24 de agosto, também usando modelos de IA.

A Wiz afirmou que as descobertas “estão entre as vulnerabilidades mais graves já encontradas no PHP e, possivelmente, na história do software”. Segundo a empresa, as falhas subjacentes estavam presentes há décadas, mas provar que eram exploráveis ​​exigia uma série de etapas “no limite do que pesquisadores humanos poderiam realizar na prática”.

O governo do presidente dos Estados Unidos, Donald Trump, afirmou estar “monitorando e coordenando com agências federais e os principais laboratórios de inteligência artificial para agilizar a divulgação da correção”. A descoberta foi apresentada como prova de que a “superinteligência” americana fortalece a segurança nacional.

Uma falha de segurança na linguagem de programação PHP, utilizada por boa parte da internet global, derrubou sites e plataformas digitais na quarta-feira (21). O problema também atingiu o Brasil, provocando interrupção nos serviços digitais do governo.

A linguagem PHP alimenta cerca de 70% dos sites em todo o mundo, incluindo o publicador e gerenciador de sites WordPress.

A falha de segurança afetou plataformas globalmente, em países como Inglaterra, Irlanda, França e Holanda.

No Brasil, o Ministério da Gestão e da Inovação em Serviços Públicos confirmou que emitiu um alerta para todas as unidades de tecnologia do governo federal, por meio do Ctir.Gov (Centro de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos do Governo Federal).

A orientação foi retirar temporariamente do ar todos os sistemas desenvolvidos em PHP, desabilitando qualquer tipo de acesso externo.

Um dos impactados foi o SEI (Sistema Eletrônico de Informações), sistema federal para produção e gestão de documentos e processos administrativos eletrônicos. Segundo o Ministério, o SEI foi tirado do ar preventivamente. Demandas urgentes relacionadas a documentos devem ser tramitadas pelo GOV.BR ou por e-mail.

A Fundação PHP, organização responsável pela linguagem de programação, implementou na quarta-feira uma correção para os bugs. A fundação recomentou que os operadores de sites que usam o sistema passem pela atualização imediatamente.

Após a interrupção dos serviços, o Ministério orientou pela atualização dos sistemas PHP para a versão corrigida.

À CNN Brasil, a Anatel (Agência Nacional de Telecomunicações) informou que retirou o SEI do ar na quarta-feira, entre 12h15 e 22h05 (horário de Brasília), para a correção. A agência explicou que a medida foi “estritamente preventiva e alinhada a recomendações internacionais”, e que não houve registros de invasão.

Depois da correção, a Anatel reestabeleceu o SEI da Anatel, que opera normalmente.

O Ministério também confirmou que o GOV.BR não foi afetado e que ainda avalia a dimensão da falha.

“As equipes de segurança cibernética do Governo Federal estão avaliando os efeitos da correção em todos os sistemas afetados e trabalhando para garantir a atualização e a disponibilidade de todos os sistemas”.

Falha atingiu sites no mundo todo

Após a identificação da falha, operadoras de plataformas digitais ao redor do mundo tiveram que correr para atualizar seus sistemas.

A ministra do governo do Reino Unido, Elizabeth Lloyd, afirmou nesta quinta-feira, na Câmara dos Lordes, que quase três dezenas de serviços do governo britânico ficaram indisponíveis e quatro ficaram “parcialmente indisponíveis” durante as atualizações.

O site de notícias irlandês The Journal, o segundo mais popular do país, ficou fora do ar. Na Europa, sites governamentais da França, Dinamarca, Finlândia e Holanda, incluindo o da agência holandesa de segurança cibernética, foram temporariamente desativados durante as correções.

Autoridades de mais países alertaram para a situação.

A Agência de Segurança Nacional dos Estados Unidos e a agência europeia de cibersegurança aconselharam as empresas a tomarem medidas imediatas para corrigir as falhas.

O primeiro-ministro holandês, Rob Jetten, afirmou que seu gabinete estava “monitorando de perto a situação em torno das vulnerabilidades do PHP”.

A primeira-ministra do Japão, Sanae Takaichi, afirmou que as empresas devem considerar a suspensão de serviços, se necessário, para reduzir sua exposição. A companhia aérea japonesa ANA, a operadora ferroviária JR West e o maior banco do país, o MUFG, estiveram entre as companhias que relataram a suspensão temporária de algumas páginas da web e serviços.

IA ajudou a identificar falha no PHP

As falhas na linguagem de programação foram descobertas por equipes da OpenAI, da empresa de cibersegurança Wiz (que pertence ao Google) e da empresa de cibersegurança Calif.

Os bugs, chamados PHP2Shell, poderiam permitir que invasores acessassem sites e lessem a memória contida neles, incluindo informações confidenciais e senhas. Segundo a Reuters, uma empresa de computação em nuvem identificou milhões de tentativas de invasão utilizando a falha.

À CNN Internacional, a Nigel Green, CEO da empresa de consultoria financeira deVere Group, avaliou o impacto: “Com o PHP por trás de uma parcela tão vasta da web, a exposição poderia alcançar praticamente todos os lugares onde as pessoas gastam dinheiro online”,

“Plataformas de reservas, marketplaces, serviços de assinatura, sites de venda de ingressos, aplicativos de entrega e portais de serviços públicos podem estar armazenando dados de cartão em sistemas construídos com o mesmo tipo de código”, acrescentou.

Pesquisadores da Wiz, em uma publicação de blog na quarta-feira, descreveram o PHP como uma “espinha dorsal da web”. Para os especialistas, a IA teve papel crucial na descoberta e na correção de vulnerabilidades “que permaneceram ocultas no código-fonte do PHP por mais de uma década”.

Brasileiro desenvolve ferramenta que detecta e previne ataque hacker

 

Sites governamentais e empresariais de todo o mundo ficaram brevemente fora do ar nesta quinta-feira (22), levando a suspensão de alguns serviços online. Enquanto isso, operadores se esforçam para corrigir sistemas após a inteligência artificial ajudar a encontrar vulnerabilidades críticas em uma linguagem de programação amplamente utilizada.

Quase três dezenas de serviços do governo britânico estão indisponíveis e quatro estão “parcialmente indisponíveis” durante atualizações de segurança, informou a ministra do governo do Reino Unido, Elizabeth Lloyd, à Câmara dos Lordes.

“Nenhum serviço crítico de grande porte voltado ao público está sendo afetado pelo processo, mas alguns serviços limitados podem ficar temporariamente offline enquanto o trabalho de segurança é realizado”, disse um porta-voz do governo britânico a repórteres.

A Agência de Segurança Nacional dos EUA e a agência europeia de cibersegurança aconselharam as empresas a tomarem medidas imediatas para corrigir duas falhas críticas no PHP, uma linguagem de programação que alimenta 70% de todos os sites do mundo, incluindo o WordPress e o Drupal, um sistema de gerenciamento de conteúdo de código aberto.

A Fundação PHP, organização responsável pela linguagem de programação, lançou uma correção para os bugs, que estavam ocultos em seu software há anos, e recomenda que os operadores de sites atualizem seus sistemas imediatamente.

O popular site de notícias irlandês The Journal ficou temporariamente offline na manhã de quinta-feira enquanto reforçava suas “defesas”, conforme comunicado. O The Journal é a segunda fonte de notícias online mais utilizada na Irlanda, atrás apenas da RTÉ, a emissora nacional, de acordo com o Instituto Reuters.

As falhas no PHP – que originalmente significava Personal Home Page (Página Inicial Pessoal) – foram descobertas por equipes da OpenAI, da empresa de cibersegurança Wiz, pertencente ao Google, e de outra empresa de cibersegurança, a Calif. Os bugs, coletivamente chamados de PHP2Shell, poderiam permitir que invasores acessassem sites e lessem a memória, que poderia conter informações confidenciais, como senhas.

“Com o PHP por trás de uma parcela tão vasta da web, a exposição poderia alcançar praticamente todos os lugares onde as pessoas gastam dinheiro online”, disse Nigel Green, CEO do deVere Group, uma empresa de consultoria financeira.

“Plataformas de reservas, marketplaces, serviços de assinatura, sites de venda de ingressos, aplicativos de entrega e portais de serviços públicos podem estar armazenando dados de cartão em sistemas construídos com o mesmo tipo de código”, acrescentou.

Líderes mundiais opinam

Até mesmo líderes mundiais instaram as organizações a tomarem medidas. O primeiro-ministro holandês, Rob Jetten, afirmou que seu gabinete estava “monitorando de perto a situação em torno das vulnerabilidades do PHP”.

A primeira-ministra do Japão, Sanae Takaichi, afirmou que as empresas devem considerar a suspensão de serviços, se necessário, para reduzir sua exposição. “Por favor, verifiquem se seus sites públicos utilizam PHP e preparem-se para aplicar a correção que será lançada hoje à noite… o mais rápido possível”, publicou ela na quarta-feira.

A companhia aérea japonesa ANA, a operadora ferroviária JR West e o maior banco do país, o MUFG, estavam entre as empresas que relataram a suspensão temporária de algumas páginas da web e serviços.

Na Europa, os sites governamentais da França, Dinamarca, Finlândia e Holanda, incluindo o da agência holandesa de segurança cibernética, foram temporariamente desativados enquanto correções de segurança eram implementadas.

A Fundação Wikimedia, organização sem fins lucrativos que administra a Wikipédia, disse à CNN Internacional na quinta-feira que estava “em processo de correção de vulnerabilidades de segurança no PHP” e que vários de seus sistemas foram desativados como “medida de precaução”.

‘Ponto de inflexão da IA’

A IA desempenhou um papel crucial na descoberta e correção de vulnerabilidades “que permaneceram ocultas no código-fonte do PHP por mais de uma década”, segundo a Wiz, que afirmou que o episódio marca um “ponto de inflexão para a IA”.

“O que a IA mudou foi a capacidade de entender as vulnerabilidades e transformá-las em uma exploração funcional”, escreveram os pesquisadores da Wiz em uma postagem de blog na quarta-feira, na qual descreveram o PHP como a “espinha dorsal da web”.

“Com modelos de IA de ponta e as ferramentas certas, um único pesquisador concluiu em uma semana o que antes levaria meses de trabalho para uma equipe de classe mundial”, acrescentaram.

Os erros foram descobertos no final de agosto, mas só foram divulgados ao público na quarta-feira, depois que a PHP apresentou uma correção.

Segundo a Cloudflare, provedora de infraestrutura web, que tem trabalhado com a PHP Foundation, a Calif, a OpenAI e a Wiz, as falhas podem permitir que invasores executem código remotamente, interrompam serviços e exponham dados de clientes para solucionar o problema.

Durante o processo de pesquisa, os pesquisadores da Wiz utilizaram o Gemini 4 Argon do Google, o Wiz Atlas e o GPT-5.6 Sol da OpenAI.

Semelhanças com Heartbleed

Pesquisadores da Wiz afirmam que o problema é comparável à falha Heartbleed de 2014, que afetou uma tecnologia de criptografia usada por cerca de dois terços da internet. O Heartbleed permitiu que cibercriminosos acessassem dados que deveriam estar protegidos.

Assim como o Heartbleed, os pesquisadores da Wiz afirmam que o PHP2Shell pode representar um ponto de virada na segurança cibernética. Embora as vulnerabilidades existissem há anos, a IA tornou viável sua exploração.

“As falhas subjacentes estavam presentes há décadas, mas demonstrar sua possibilidade de exploração exigia uma cadeia de etapas excepcionalmente complexa, no limite do que os pesquisadores humanos poderiam realizar na prática”, disseram os pesquisadores.

“Os modelos de IA de ponta reduziram substancialmente essa barreira, transformando uma falha antiga em uma vulnerabilidade.”

– John Liu, Anna Cooban, Amy Croffey e James Frater, da CNN, contribuíram para esta reportagem.

Estudo: Hackers: empresas do Brasil perderão R$ 2,2 trilhões em 3 anos

 

 

 

Houve muitas vezes em que eu não queria largar o iPhone Duo. Depois que você se acostuma a ler, assistir TV e navegar pelo Instagram em uma tela gigante, é difícil voltar para um pequeno retângulo brilhante.

Há apenas um problema: muitos aplicativos ainda são feitos para aquele pequeno retângulo.

Esta é a experiência de usar o iPhone Duo, o primeiro iPhone dobrável da Apple, que será lançado em 23 de outubro. Seu preço inicial é de US$ 2.000, o que o torna tão caro quanto o mais recente MacBook Pro de 14 polegadas da Apple. (No Brasil, os valores começam em R$ 21.999).

É uma grande mudança para a Apple, que raramente mexe na fórmula vencedora que transformou o iPhone em um negócio que faturou mais de US$ 200 bilhões no ano passado. Mas, depois de anos de atualizações incrementais do iPhone, a Apple enfrentou a pressão de provar que ainda conseguia cativar os consumidores.