A Fundação PHP reconheceu que a indecisão e a falta de recursos atrasaram a correção de uma vulnerabilidade de segurança crítica, detetada pela primeira vez em 2024, classificando a resposta prolongada como uma «falha estrutural».
Na quarta-feira, instituições governamentais e outras organizações em todo o mundo desativaram preventivamente sites, enquanto o PHP lançava correções de emergência para duas vulnerabilidades críticas relacionadas. Estas vulnerabilidades poderiam permitir que atacantes não autenticados executassem código nos servidores afetados sem iniciarem sessão.
O PHP é uma linguagem de programação amplamente utilizada, que está na base de sites e aplicações Web, incluindo sistemas de gestão de conteúdos.
Numa publicação no blogue após o lançamento da correção, a fundação descreveu como os seus programadores detetaram pela primeira vez indícios da vulnerabilidade em 2024, mas tiveram dificuldade em encontrar uma solução sem afetar um vasto ecossistema de software criado com PHP.
«A par da ausência de um método conhecido para executar código remotamente e de uma pequena equipa de programadores principais, com o conhecimento aprofundado necessário do motor, mas sobrecarregada com inúmeras responsabilidades, este processo de tomada de decisões fez com que o trabalho na correção fosse repetidamente interrompido e retomado ao longo de vários meses», afirmou a fundação.
«Não vamos fingir que não é verdade: o atraso foi uma falha estrutural, causada tanto pelo processo de tomada de decisões da equipa de segurança como pela falta de recursos da equipa».
A 11 de agosto, a fundação voltou a ser alertada para a vulnerabilidade, depois de a empresa de cibersegurança Calif e a OpenAI terem comunicado, de forma independente, a mesma causa principal. A Calif demonstrou a possibilidade de execução remota de código sem qualquer autenticação, o que tornou a vulnerabilidade uma prioridade de segurança.
Sites são desativados devido a preocupações com a segurança do PHP
As interrupções espalharam-se pelo mundo: os programadores desativaram sites enquanto se preparavam para instalar correções de emergência.
Os Países Baixos desativaram o seu serviço de identificação digital, e o Centro Nacional de Cibersegurança do país também colocou o seu site offline.
A Valtori, prestadora de serviços de TI do Estado finlandês, desativou os serviços Web públicos do governo, enquanto o Ministério do Interior francês colocou temporariamente offline os sites das prefeituras. A prestadora federal de serviços de TI da Alemanha, ITZBund, também desativou vários sites, segundo a Reuters.
Na Austrália, a Direção Australiana de Sinais reconheceu que o seu site de cibersegurança, cyber.gov.au, estava entre os sites governamentais afetados pelo problema do PHP.
A primeira-ministra do Japão, Sanae Takaichi, apelou aos operadores de sites, na rede X, para que se preparassem para instalar a correção o mais rapidamente possível. Na publicação, afirmou que suspender temporariamente os sites poderia reduzir o risco caso não fosse possível instalar a correção de imediato.
A Fundação Wikimedia, que gere a Wikipedia, afirmou ter desativado preventivamente alguns serviços auxiliares, incluindo o Toolforge e o Cloud VPS, que alojam ferramentas e projetos utilizados por programadores voluntários. Como resultado, algumas partes da Wikipedia ficaram indisponíveis na quarta-feira.
A Intersect, organização associativa que apoia o desenvolvimento e a governação da blockchain Cardano, informou que desativou temporariamente a sua área de membros enquanto avaliava uma possível vulnerabilidade. À data da publicação deste artigo, a página continuava indisponível.
O diretor de segurança da Coinbase, Jeff Lunglhofer, afirmou que a empresa não encontrou indícios de instalações do PHP vulneráveis.
«Quando tomamos conhecimento de vulnerabilidades deste tipo, realizamos automaticamente uma análise completa para garantir que tudo está o mais seguro possível. Também trabalhamos com os nossos fornecedores externos para obter garantias adicionais».
A empresa de infraestruturas digitais BitGo também afirmou que a sua plataforma não foi afetada pela vulnerabilidade do PHP.
Entretanto, o cofundador da Binance, Changpeng Zhao, avisou os utilizadores da Internet na quarta-feira para terem «especial cuidado» ao visitar quaisquer sites nos próximos dias, uma vez que alguns administradores de sites poderão ainda não ter instalado as atualizações de segurança mais recentes.
A OpenAI lançou uma competência do Codex que ajuda os operadores de sites a verificar se estão a utilizar versões potencialmente vulneráveis do PHP e a identificar as atualizações adequadas; está disponível através do GitHub.
A equipa de segurança do PHP afirmou que não tinha identificado qualquer exploit funcional no momento da divulgação pública.