Foram divulgados detalhes de uma falha crítica na linguagem de programação PHP, que é a base de mais de 70% de todos os sites . Se não for corrigida, a falha permitiria aos hackers assumir o controlo e comprometer facilmente milhões de sites e as informações armazenadas nos seus servidores. Em resposta, vários governos e operadores europeus, incluindo o Porto de Roterdão, desativaram sites.
A Direção de Sinais da Austrália, a Agência de Defesa Cibernéticae órgãos similares do Reino Unido, da Europa e do Japão alertaram os web developers para que apliquem atualizações urgentes aos seus sistemas principais e considerem a possibilidade de desativar os sites até que a segurança possa ser garantida.
A organização responsável pela linguagem gratuita e de código aberto publicou atualizações que corrigem a falha, mas a implementação dessas atualizações nos milhões de sistemas que utilizam PHP levará tempo.
O que é o PHP?
O PHP é muitas vezes chamado de "a espinha dorsal da web". É uma linguagem de programação – uma forma de dar instruções aos computadores – que existe desde 1997 e permite aos sites gerir as entradas dos utilizadores e processar informação nos bastidores.
O poder do PHP reside na sua versatilidade. Os sites utilizam-no para tudo, desde o login de utilizadores em contas e a gestão de lojas online, até à consulta de dados em bases de dados e à publicação de milhões de artigos em blogs e sites de notícias.
O PHP é executado no servidor, e não no seu computador pessoal. Isto significa que a maioria de nós interage com o PHP todos os dias sem nunca o ver.
Cronologia das preocupações
Em agosto, investigadores de cibersegurança de uma empresa chamada Wiz utilizaram as suas próprias ferramentas e as versões mais recentes dos modelos de IA Gemini da Google e ChatGPT da OpenAI para vasculhar a enorme base de código do PHP.
A equipa da Wiz estava à procura de vulnerabilidades ocultas em programas que um atacante pudesse explorar em conjunto para assumir o controlo de um sistema que executava PHP, bastando para isso enviar um pedido cuidadosamente elaborado através da internet.
Em poucos dias, encontraram formas de invadir sistemas baseados em PHP, como o Drupal e o WordPress , que são utilizados em grandes áreas da web.
Wiz contactou a equipa de segurança do PHP para os informar sobre as falhas encontradas. No final de setembro, os programadores do PHP confirmaram a existência do problema e começaram a trabalhar discretamente numa correção.
Em cibersegurança, a atitude responsável ao encontrar uma vulnerabilidade é mantê-la em sigilo até que uma correção esteja disponível. Isto porque a divulgação pública poderia fornecer um mapa detalhado para os hackers explorarem.
Ao que tudo indica, era isso que os programadores do PHP estavam a planear. No entanto, ontem, um utilizador do popular site especializado Hacker News deixou escapar informações sobre as falhas de segurança antes de estarem disponíveis quaisquer correções.
Após a fuga de informação, os programadores do PHP apressaram-se a confirmar publicamente o problema no dia 21 de outubro, lançando correções de emergência antes do previsto.
Implementar as correções está longe de ser simples. Uma vez que o PHP está subjacente a milhares de plugins, frameworks e serviços de alojamento gerido de terceiros, os sites só estão seguros quando cada camada individual da cadeia de abastecimento integra e implementa a correção do PHP.
Por que razão isso continua a acontecer?
Grande parte da internet é construída sobre tecnologias fundamentais que foram desenvolvidas e mantidas por programadores amadores. Muitos dependem da boa vontade e de donativos, em vez de um financiamento corporativo robusto.
Muitas destas ferramentas foram desenvolvidas há décadas. Nunca foram concebidas para suportar com segurança um mundo onde milhões de sites e milhares de milhões de dispositivos as utilizam para lidar com dados sensíveis e privados.
Para agravar este problema, a manutenção raramente é uma prioridade para as organizações. Muitas vezes, as empresas têm apenas um conhecimento muito básico sobre todos os componentes das suas cadeias de abastecimento – sejam elas físicas ou digitais.
Mesmo em casos de grande impacto como este, muitas empresas nem sequer se apercebem de qual o software que utilizam, muito menos têm noção de quão seguro é realmente.
O que deve fazer?
Esta questão afeta principalmente as pessoas que fazem manutenção de sites ou gerem infraestruturas técnicas. Para estas pessoas, a prioridade é clara: aplicar patches aos sistemas imediatamente quando as atualizações estão disponíveis e considerar a possibilidade de desligar sistemas críticos da internet até que se tenha a certeza da sua segurança.
Para os utilizadores comuns da internet, estas vulnerabilidades afetam os servidores que alojam os sites, e não o seu dispositivo pessoal. No entanto, como alguns sites podem ficar temporariamente comprometidos antes de serem corrigidos, é prudente ter cuidado ao inserir dados pessoais sensíveis em sites desconhecidos nos próximos dias.
Os principais fornecedores de cloud e empresas de segurança estão a implementar filtros de emergência, mas a corrida global para proteger a internet está apenas a começar.
Equipas de cibersegurança em todo o mundo estão a mobilizar-se para conter os danos. Mas a dimensão deste problema deveria servir de alerta.
Os governos e as empresas não podem ignorar a resiliência das suas cadeias de abastecimento digitais. Tal como os fabricantes acompanham os fornecedores dos componentes físicos dos quais dependem, devemos esperar que a infraestrutura digital também acompanhe todos os sistemas e estruturas dos quais depende.
Reunir esta informação é o primeiro passo para que as empresas e os governos compreendam verdadeiramente o quanto a sua viabilidade digital depende de código subfinanciado e mantido por voluntários. Enquanto as empresas não tratarem o financiamento de ferramentas fundamentais de código aberto como um investimento crítico em segurança, em vez de uma ação de caridade, estas vulnerabilidades continuarão a ocorrer.
Andrew Cullen, Investigador convidado, Escola de Computação e Sistemas de Informação, Universidade de Melbourne.
Este artigo foi republicado do The Conversation sob uma licença Creative Commons. Leia o artigo original.
