Um alerta alarmante circulou nos últimos dias: devido a falhas de segurança recém-descobertas na linguagem de programação de código aberto PHP, proprietários de sites foram orientados a corrigir imediatamente suas plataformas — ou, caso não conseguissem atualizar a tempo, remover os sites do ar por segurança.
Em episódio recente do podcast Equity do TechCrunch, os jornalistas Kirsten Korosec, Sean O'Kanque e Anthony Ha debateram a dimensão do que foi chamado de "apocalipse PHP" e as perspectivas de novos incidentes semelhantes. O apresentador classificou o momento como uma "verdadeira chamada de atenção" que evidencia como "quando se vai até o nível mais profundo da internet, tudo parece ser mantido junto por cola e sonhos". Com o acesso amplo a modelos de linguagem de grande escala e agentes de inteligência artificial, descobrir essas vulnerabilidades tende a se tornar cada vez mais simples.
Anthony Ha destacou um ponto perturbador: a falha identificada não é nova. Ela existe há décadas dentro do PHP, linguagem utilizada para construir grande parte da web moderna. O que aconteceu foi que grandes empresas de tecnologia, incluindo a Wiz, adquirida pelo Google, conseguiram localizar essas vulnerabilidades com auxílio de modelos de linguagem. A descoberta gerou uma corrida contra o tempo: como essas ferramentas podem encontrar tais falhas, outras pessoas também poderiam. A única solução foi tornar a vulnerabilidade pública, criando uma situação de urgência extrema.
Kirsten Korosec alertou que muitos proprietários sequer sabem que seus sites utilizam PHP, uma linguagem de programação de código aberto com décadas de existência. Detrás de sistemas de gerenciamento de conteúdo como WordPress e Drupal, ela está presente em aproximadamente setenta por cento dos websites existentes — representando dezenas de milhões de plataformas. A jornalistaraised preocupações sobre o que mais pode existir de software antigo e problemático aguardando exploração.
Sean O'Kanque criticou a forma como a divulgação foi conduzida, mencionando que a OpenAI parece ter feito marketing excessivo sobre a descoberta. Ele observou que alguns detalhes vazaram antes do prazo combinado, desencadeando uma corrida entre invasores. Matthew Prince, diretor executivo da Cloudflare, revelou que a empresa detectou milhões de tentativas de exploração da vulnerabilidade PHP2Shell.
A Amazon também chamou atenção ao divulgar que sua rede de iscas conseguiu identificar tentativas de exploração antes mesmo do anúncio público. Korosec considerou esse fato assustador e lembrou que empresas bem capitalizadas possuem recursos para se defender, enquanto inúmer websites e órgãos governamentais não dispõem desse nível de proteção. Ela questionou se isso representa apenas o começo de um novo capítulo na segurança digital, com possíveis exploits a sistemas bancários e preocupações adicionais com privacidade de dados.
Fonte: TechCrunch
