Governos da Europa (Europe), da Ásia (Asia) e de outros países retiraram temporariamente alguns sites do ar na quarta-feira, depois de duas falhas de segurança recém-divulgadas na PHP, uma linguagem de programação que alimenta grande parte da internet, terem levado a um raro alerta público da Agência de Segurança Nacional dos Estados Unidos (National Security Agency).4,5
As falhas, batizadas de PHP2Shell, foram descobertas com a ajuda de modelos de inteligência artificial, segundo a Al Jazeera. Ambas dependem do acesso a partes da memória do computador sem autorização e da exploração desse acesso para executar código malicioso. A Al Jazeera noticiou que um atacante poderia executar remotamente comandos num servidor que corre código antigo da PHP através da internet, sem palavra-passe nem conta legítima. A PHP Foundation, uma organização sem fins lucrativos que apoia a linguagem, lançou uma correção para as versões mais recentes na quarta-feira à tarde.4,5
A NSA aconselhou as organizações a retirar os seus sistemas do ar caso não conseguissem instalar a atualização de imediato. “Com efeito imediato, todas as organizações que usam PHP nos seus sistemas são aconselhadas a preparar-se para uma atualização que aborda duas vulnerabilidades críticas”, afirmou a agência numa publicação nas redes sociais. Numa publicação separada, escreveu: “Estas vulnerabilidades oferecem frequentemente um caminho direto para o sistema de ficheiros ou a base de dados do servidor”, segundo a BBC.4,5
Vários governos europeus agiram rapidamente. A Finlândia (Finland) suspendeu temporariamente os serviços web públicos do seu governo, e o Ministério Federal da Transformação Digital e da Modernização Governamental da Alemanha (Germany's Federal Ministry for Digital Transformation and Government Modernisation) afirmou ter retirado alguns sites do ar como medida preventiva. O Ministério do Interior francês (Ministry of the Interior) desativou os sites oficiais dos serviços administrativos locais. As autoridades da Bélgica (Belgium), dos Países Baixos (Netherlands) e da República Checa (Czech Republic) também disseram ter encerrado sites para aplicar uma correção de segurança. O Instituto Nacional de Saúde Pública e Ambiente (National Institute for Public Health and the Environment) retirou o seu site do ar, e o site da Tweede Kamer, a câmara baixa do parlamento neerlandês, ficou inacessível.4,5
A disrupção foi além do governo. A Fundação Wikimedia (Wikimedia Foundation), que gere a Wikipedia, afirmou que está a tratar das vulnerabilidades. “Retirámos do ar vários outros sistemas como medida de precaução até poderem ser corrigidos em segurança”, disse, e alguns utilizadores não conseguiram aceder a partes da Wikipedia na quarta-feira. O site da câmara municipal de Edimburgo (Edinburgh council) também ficou inacessível, tal como as páginas online de vários programas da BBC, incluindo Doctor Who e The Traitors. A BBC noticiou que nenhuma das entidades confirmou uma ligação à PHP e que tinha pedido comentários. A plataforma de arte DeviantArt disse estar “temporariamente em baixo para manutenção”, sem indicar um motivo.4
As vulnerabilidades foram encontradas por investigadores das empresas de segurança Calif e Wiz. A Calif, juntamente com a PHP Foundation, participou num programa iniciado pela OpenAI chamado Patch the Planet, que lhes deu acesso às ferramentas avançadas de IA da empresa para encontrar e corrigir falhas em linguagens de desenvolvimento web. A Al Jazeera noticiou que a Calif, a trabalhar com a OpenAI, comunicou a primeira falha a 11 de agosto, e que a Wiz, empresa de segurança detida pela Alphabet, comunicou a segunda a 24 de agosto. A OpenAI afirmou num blogue que a descoberta foi “uma das questões de segurança mais impactantes dos últimos tempos”, e a BBC noticiou que um investigador interno da OpenAI também tinha encontrado o problema por volta da mesma altura que as outras empresas.4,5
A Wiz afirmou que as falhas são “as vulnerabilidades mais graves alguma vez descobertas” por IA, e descreveu o papel das ferramentas de IA na sua própria publicação no blogue. “Os modelos de fronteira foram essenciais para tornar este processo prático, permitindo-nos desenvolver e adaptar explorações funcionais em várias aplicações em horas”, afirmou a empresa. A Wiz disse que as descobertas “estão entre as vulnerabilidades mais graves alguma vez encontradas na PHP e, possivelmente, na história do software”. A BBC noticiou que as falhas passaram despercebidas durante mais de uma década, enquanto a Al Jazeera disse que as fragilidades subjacentes existiam há décadas.4,5
As estimativas do alcance do problema diferiram entre as reportagens. A BBC noticiou que a Wiz estimou que “cerca de 70%” da internet está afetada, um número que a BBC disse não conseguir verificar. A Al Jazeera descreveu a PHP como utilizada por mais de 70% dos sites. Nenhuma das reportagens apresentou uma contagem independente de quantos sites executam versões vulneráveis do software.4,5
Os detalhes das falhas foram divulgados nas redes sociais na terça-feira, segundo a BBC, o que obrigou a PHP Foundation a apressar o anúncio das vulnerabilidades e da sua dimensão. A fundação pretendia divulgar as suas conclusões mais tarde este mês, juntamente com uma correção completa. Não se sabe se todas as versões são afetadas. A CERT-UE (CERT-EU), a equipa de resposta a emergências informáticas da União Europeia (European Union), afirmou que as falhas podem afetar todas as versões da PHP desde a PHP 5, lançada em 2004. A PHP Foundation publicou a atualização apenas para as versões mais recentes, e as pessoas que usam a PHP 8.1 ou anteriores foram instadas a atualizar.4
Os investigadores de segurança descreveram o risco em termos mais amplos. Dane Knecht, diretor de tecnologia da empresa de infraestrutura de internet Cloudflare, disse estar “a observar os primeiros ataques a surgir e a atualizar as mitigações à medida que surgem novos vetores”. A CERT-UE afirmou que as pontuações de risco atribuídas às vulnerabilidades “indicam o potencial para execução remota de código sem autenticação”. Don Smith, da Sophos Counter Threat Unit, disse à BBC que a PHP “provavelmente será um alvo prioritário” para os piratas informáticos, acrescentando que o desafio imediato é localizar todas as instâncias em que a PHP está a correr. “A utilização da PHP é omnipresente, pode estar por baixo de sites públicos, sistemas de gestão de conteúdos, plataformas de alojamento e produtos de terceiros, por vezes sem que seja sequer óbvio para a organização que a utiliza”, disse.4
A Casa Branca afirmou que as agências federais estão a trabalhar com os principais laboratórios de IA para acelerar uma correção. A primeira-ministra japonesa, Sanae Takaichi, instou as pessoas a verificar se os seus sites públicos correm em PHP. O Centro Nacional de Cibersegurança do Reino Unido (National Cyber Security Centre), juntamente com os seus homólogos da UE e da Austrália (Australia), instou quem usa PHP a aplicar as correções. “Quando a correção imediata não for viável, as organizações devem considerar retirar o sistema do ar até poder ser totalmente mitigado”, afirmou o NCSC numa nota.4,5
A PHP Foundation afirmou que as ferramentas de IA tornariam estas fragilidades mais fáceis de encontrar, e apelou às empresas de tecnologia para montarem uma resposta coordenada, para evitar grandes perturbações nos serviços online. “As ferramentas encontram agora erros mais depressa do que nunca, tanto para defensores como para atacantes, e o número de relatórios vai continuar a crescer”, afirmou a fundação num comunicado.5
