Agências governamentais e empresas em diferentes países tiraram sites do ar nessa quarta-feira (21) após a descoberta de duas falhas críticas relacionadas ao PHP, linguagem de programação utilizada em grande parte dos sites da internet. A Agência de Segurança Nacional dos Estados Unidos (NSA) pediu que as organizações corrigissem as falhas imediatamente ou desligassem os sistemas vulneráveis.
As falhas "frequentemente proporcionam um caminho direto para o sistema de arquivos ou para o banco de dados do servidor", afirmou a NSA em um comunicado no X. Segundo o g1, hackers poderiam explorar essas vulnerabilidades para assumir o controle de servidores de sites sem precisar de senha.
O PHP é usado em plataformas populares de criação de sites, o que significa que as falhas podem afetar uma grande variedade de páginas na internet, de lojas online e veículos de notícias a serviços governamentais.
Ainda de acordo com o g1, a descoberta ocorreu em meio ao auge de divulgações sobre segurança de software impulsionado por modelos de inteligência artificial (IA) cada vez mais poderosos. Mantida a tendência atual, o número de vulnerabilidades detectadas em 2026 pode dobrar o recorde alcançado no ano passado. Desenvolvedores voluntários do projeto PHP lançaram uma atualização para corrigir as falhas ainda na quarta-feira (21).
"Se você usa PHP, é imperativo atualizá-lo imediatamente", afirmou a PHP Foundation, que financia os desenvolvedores que trabalham na linguagem.
A Agência de Segurança Nacional dos EUA alertou todas as organizações que utilizam PHP para que desliguem seus sistemas caso não consigam corrigir a falha imediatamente, acrescentando que ela pode fornecer um "caminho direto" para explorar o banco de dados de um sistema.
"Esses riscos são graves o suficiente para exigir correções imediatas em todos os departamentos e agências do governo dos EUA", disse a agência.
Empresas de tecnologia também estão correndo contra o tempo para proteger seus sistemas. A gigante do comércio eletrônico Amazon afirmou ter sido alvo de múltiplas tentativas de ataque dias antes da divulgação pública da vulnerabilidade no PHP. Não se sabe como os hackers tomaram conhecimento da vulnerabilidade.
As falhas foram reportadas em agosto pela empresa de segurança Calif e pela OpenAI, criadora do ChatGPT, que as identificou de forma independente no mesmo dia. Posteriormente, a Wiz, empresa de segurança na nuvem pertencente ao Google, informou ter encontrado outras maneiras de explorar as vulnerabilidades.
Os detalhes vazaram online na terça-feira, um dia antes do lançamento previsto, o que desencadeou uma corrida contra o tempo para tirar sites do ar.
Quais sites foram afetados?
O alerta interrompeu serviços em todo o mundo, desde plataformas de jogos a portais governamentais e fóruns online. Isso inclui a Wikimedia, a organização por trás da enciclopédia online Wikipédia, que desativou vários de seus sistemas como medida de precaução.
O governo da Finlândia, a prefeitura de Edimburgo, a agência de segurança cibernética da Holanda e a BBC estão entre os que retiraram seus sites do ar por um período. Diversas organizações públicas da Escócia, incluindo conselhos e autoridades de saúde, também desativaram seus sites.
Alguns especialistas alertam que a vulnerabilidade pode deixar sites com baixo nível de manutenção — particularmente aqueles pertencentes a organizações menores com recursos de segurança limitados — em maior risco.
É provável que ocorram mais tentativas de explorar essas falhas nas próximas semanas, já que os detalhes técnicos estão sendo divulgados agora, afirma o pesquisador de segurança cibernética Salil Kanhere, da UNSW Sydney.
Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, ficaram inacessíveis nessa quarta-feira a pedido da Agência Nacional de Cibersegurança francesa, após a "detecção de uma vulnerabilidade crítica de segurança", informou o Ministério do Interior.
Nos Países Baixos, o serviço nacional de identidade digital DigiD, o site da Câmara dos Representantes e o do centro nacional de cibersegurança foram desligados como medida de precaução, de acordo com a emissora pública holandesa NOS.
O que as pessoas podem fazer para se proteger?
Os proprietários de sites estão sendo aconselhados a proteger seus sites com a versão mais recente do PHP. Segundo Spain, a correção do software PHP é uma pequena alteração de rotina para a maioria das equipes de TI. A Agência de Segurança Nacional dos EUA recomendou "maior atenção" nas próximas semanas e o acompanhamento rigoroso das atualizações dos fornecedores de software.
A responsabilidade recai principalmente sobre os operadores dos sites, mas os usuários devem ficar atentos a quaisquer avisos de segurança emitidos pelos serviços afetados, como solicitações para alterar senhas, disse Kanhere.
Ele alertou as pessoas para que fiquem atentas a quaisquer mensagens de phishing que explorem a publicidade em torno do incidente.
