Duas falhas graves no PHP levaram governos e empresas a tirar sites do ar nesta quarta-feira (21). O alcance do problema é explicado pela popularidade da linguagem de programação, criada há mais de 30 anos e utilizada por 69,3% dos sites cuja linguagem de servidor é conhecida, segundo levantamento da W3Techs.
O papel do PHP nos servidores web
O PHP funciona nos servidores e é responsável por processar informações antes que elas apareçam no navegador. Em uma loja virtual, por exemplo, a linguagem pode ser utilizada para consultar produtos, atualizar o carrinho de compras e interagir com o banco de dados.
Apesar da idade, o PHP continua recebendo atualizações e sendo utilizado em novos projetos. Sua presença em tantos sistemas, porém, amplia o alcance potencial de vulnerabilidades como as descobertas nesta semana. As duas vulnerabilidades divulgadas nesta semana receberam nota 9,2 de 10 em gravidade e podem permitir a execução de comandos maliciosos em servidores.
Origem e popularização da linguagem
Criado por Rasmus Lerdorf em 1994 e disponibilizado publicamente em 1995, o PHP cresceu junto com a expansão da internet, quando empresas buscavam maneiras simples e baratas de desenvolver seus primeiros sites. Rafael Silva, coordenador acadêmico da FIAP, explica em entrevista que essa popularidade está relacionada ao baixo custo de desenvolvimento, à facilidade de encontrar serviços de hospedagem e ao crescimento de plataformas como o WordPress.
O professor também destaca o papel do WordPress, sistema de gerenciamento de conteúdo que utiliza PHP e está presente em aproximadamente 39,6% dos sites da internet, segundo a W3Techs.
“Quando uma tecnologia funciona bem, tem um custo acessível e atende às necessidades do negócio, não existe necessariamente um motivo para substituí-la”, afirma Silva.
O desafio de atualizar milhões de sistemas
Para Silva, os problemas aparecem principalmente quando empresas continuam utilizando aplicações antigas sem acompanhar a evolução da linguagem.
“Uma tecnologia com 30 anos de história pode continuar sendo bastante eficiente. O que não podemos é utilizar práticas de 20 anos atrás para proteger aplicações que estão expostas às ameaças de hoje”, afirma.
Um dos principais desafios está na quantidade de sistemas que dependem do PHP e precisam continuar funcionando após uma atualização. Silva utiliza como exemplo uma loja virtual criada há dez anos, que pode reunir dezenas de plugins, sistemas de pagamento, ferramentas de estoque e funcionalidades desenvolvidas especificamente para determinada versão da linguagem.
“O desafio imediato não é apenas instalar uma correção, mas identificar e gerenciar todas as instâncias em que o PHP está em execução”, afirma Don Smith, vice-presidente de Inteligência de Ameaças da Sophos CTU.
Medidas de segurança recomendadas
Os desenvolvedores do PHP já disponibilizaram quatro versões corrigidas: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. A recomendação para os administradores é identificar as instalações vulneráveis e aplicar as atualizações imediatamente. Quando isso não for possível, a Sophos orienta isolar os sistemas afetados da internet até que possam ser protegidos.
