Governos e corporações precisaram tirar páginas do ar após a descoberta de duas falhas severas de segurança em uma das tecnologias mais populares da internet. O impacto massivo ocorre porque a ferramenta está presente em 69,3% de todas as páginas web que revelam sua linguagem de servidor, conforme dados da W3Techs.

Como funciona e por que é tão popular

Criado originalmente por Rasmus Lerdorf em 1994 e lançado publicamente em 1995, o PHP atua diretamente nos servidores. Ele processa dados antes que o conteúdo seja exibido no navegador, sendo essencial em e-commerces para gerenciar carrinhos de compras, realizar consultas e interagir com bancos de dados.

De acordo com Rafael Silva, coordenador acadêmico da FIAP, a alta adoção decorre do baixo custo de desenvolvimento, da facilidade para encontrar hospedagem e da expansão de ferramentas como o WordPress — CMS que alimenta cerca de 39,6% da rede mundial.

“Quando uma tecnologia funciona bem, tem um custo acessível e atende às necessidades do negócio, não existe necessariamente um motivo para substituí-la”, afirma Silva.

A tecnologia é considerada ultrapassada?

Embora tenha três décadas de existência, a plataforma passou por constantes melhorias em performance e segurança. Contudo, problemas surgem quando corporações mantêm softwares legados sem acompanhar a evolução da ferramenta.

“Uma tecnologia com 30 anos de história pode continuar sendo bastante eficiente. O que não podemos é utilizar práticas de 20 anos atrás para proteger aplicações que estão expostas às ameaças de hoje”, afirma Silva.

Sistemas criados há mais de uma década costumam acumular dependências complexas. No entanto, o recente alerta provou que até recursos amplamente consolidados podem esconder falhas críticas por longos períodos.

Os desafios para atualizar milhões de sistemas

O principal obstáculo na correção é a enorme quantidade de aplicações dependentes. Uma loja virtual antiga, por exemplo, pode utilizar dezenas de plugins e integrações que quebrariam com uma mudança abrupta de versão, interrompendo as vendas.

Além da incompatibilidade, mapear todos os pontos onde o software roda em uma grande infraestrutura representa um obstáculo crítico para as equipes de tecnologia.

“O desafio imediato não é apenas instalar uma correção, mas identificar e gerenciar todas as instâncias em que o PHP está em execução”, afirma Don Smith, vice-presidente de Inteligência de Ameaças da Sophos CTU.

Correções disponíveis e recomendações

As duas vulnerabilidades recentes receberam pontuação de gravidade 9,2 em uma escala até 10, permitindo a execução de códigos maliciosos nos servidores afetados.

Os desenvolvedores responsáveis já liberaram quatro compilações corrigidas: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. A orientação para os administradores de redes é realizar o mapeamento imediato dos ambientes e aplicar os patches de segurança ou isolar os sistemas da rede até que a proteção seja concluída.