As consequências da vulnerabilidade PHP2Shell transformaram-se numa das maiores respostas de emergência coordenadas da Internet em anos, com os governos a retirarem websites do ar por precaução e as empresas de segurança a reportarem milhões de tentativas de exploração contra websites que executam a linguagem de programação PHP, que sustenta cerca de 70% dos sites do mundo.
Milhões de tentativas de exploração em poucas horas Para mais contexto sobre esta história, confira nossa atualizações de inteligência artificial.
De acordo com o The Guardian, o CEO da Cloudflare, Matthew Prince, disse que sua empresa registrou dezenas de milhares de tentativas de exploração nos primeiros 45 minutos após a vulnerabilidade se tornar pública, aumentando para centenas de milhares em duas horas e “milhões agora”. A Cloudflare também relatou ter visto milhares de tentativas nas 10 horas anteriores ao anúncio público da falha, um detalhe que alimentou a preocupação sobre como a divulgação foi tratada.
A Amazon Threat Intelligence disse que o PHP2Shell “agora está sendo amplamente explorado” e que identificou várias tentativas de vários atores para encontrar maneiras de capitalizar a vulnerabilidade, mesmo antes dos desenvolvedores de PHP lançarem a correção na quarta-feira. O professor de segurança Alan Woodward, da Universidade de Surrey, disse ao jornal que a falha foi revelada um dia antes do patch estar disponível, dizendo que “alguém deixou o gato escapar”.
Governos colocam sites off-line para correção
A resposta foi extraordinariamente drástica. No Reino Unido, a ministra da cibersegurança, Liz Lloyd, disse ao Parlamento que 32 serviços governamentais foram colocados offline, descrevendo a medida como em grande parte preventiva enquanto as atualizações eram aplicadas. Downing Street disse que nenhum serviço crítico público foi afetado e que alguns serviços limitados podem estar temporariamente indisponíveis, mas enfatizou que isso não significa que tenham sido hackeados.
O Centro Nacional de Segurança Cibernética do Reino Unido enviou 50 mil alertas às organizações afetadas e disse não ter recebido nenhum relato de hacks bem-sucedidos. A agência descreveu a escala da vulnerabilidade como “sem precedentes” e alertou que o patch não funcionará para algumas organizações que executam sistemas mais antigos, que precisarão substituí-los totalmente. Os sites supostamente afetados por interrupções temporárias incluíam o site do programa Traidores da BBC, o Internet Archive, a Wikipedia e o 4Chan.
Nos Estados Unidos, a Agência de Segurança Nacional emitiu um alerta de que a falha poderia permitir que invasores assumissem o controle de servidores web, roubassem dados confidenciais, interrompessem serviços e se aprofundassem nas redes comprometidas. “Os ciberatores provavelmente transformarão o PHP2Shell em uma arma”, disse a agência, acrescentando que os riscos “são sérios o suficiente para exigir correções imediatas em todos os departamentos e agências do governo dos EUA”.
A resposta de emergência atravessou fronteiras rapidamente. A Coreia do Sul ativou medidas de resposta de emergência, aumentou o seu nível de alerta de cibersegurança no setor privado e emitiu orientações para dezenas de milhares de empresas. O Ministério da Indústria da China instou as organizações a inspecionarem seus sistemas, atualizarem para a versão segura mais recente do PHP e alterarem senhas e chaves. O primeiro-ministro do Japão incentivou as empresas a corrigir a vulnerabilidade ou a encerrar os seus sites.
Por que PHP2Shell está sendo chamado de histórico
Ciaran Martin, ex-presidente-executivo do NCSC, descreveu a falha como “muito ruim” e “a vulnerabilidade mais séria descoberta em cinco anos”. Wiz, uma das organizações de pesquisa que descobriu a vulnerabilidade, disse que ela está entre as falhas de software mais graves já descobertas.
A origem da vulnerabilidade é o que a torna um marco para a segurança da IA. De acordo com Wiz, as falhas subjacentes do PHP estavam presentes há décadas, mas demonstrar que elas eram realmente exploráveis exigia uma cadeia de etapas excepcionalmente complexa, no limite do que os pesquisadores humanos poderiam alcançar na prática. “Os modelos de IA de fronteira reduziram substancialmente essa barreira, transformando uma falha de longa data em uma exploração”, escreveu a empresa em seu blog.
O alerta da NSA centra-se no que os invasores podem fazer com o acesso. O especialista em infra-estruturas da Internet, Michał Woźniak, disse ao The Guardian que actores hostis poderiam “apoderar-se dos recursos” dos sites expostos, uma vez que os principais websites controlam valioso poder de computação, servidores e endereços IP. Grupos criminosos podem se aninhar em sites comprometidos para lançar ataques que não podem ser rastreados até eles, enquanto os mineradores de criptografia podem sequestrar servidores para executar cálculos que consomem muita energia gratuitamente. Em muitos casos, observou ele, os proprietários dos sites nem sequer estariam cientes do compromisso.
Uma nota de cautela em meio ao alarme
Nem todo mundo acredita que o dano está feito. Ryan Austin, pesquisador da empresa de segurança cibernética da Califórnia que foi fundamental para descobrir a falha, disse ao The Guardian que “no momento não parece que a exploração tenha decolado ou se generalizado”. As Câmaras de Comércio Britânicas afirmaram que a perturbação ainda não causou dificuldades significativas às empresas britânicas.
O ex-chefe do GCHQ, Sir David Omand, alertou, no entanto, que adversários estatais, incluindo a Rússia e a China, poderiam tentar explorar o bug antes que as defesas estejam totalmente implementadas, um lembrete de que a janela entre a divulgação e a remediação completa é quando a Internet está mais exposta.
O que os operadores de sites devem fazer agora
Para as organizações ainda expostas, a orientação das agências é consistente: atualize imediatamente para a versão corrigida mais recente do PHP, verifique se os patches foram aplicados corretamente e se os sistemas são antigos demais para aceitar a correção, isole-os ou substitua-os. O aviso do NCSC de que alguns sistemas legados não podem ser corrigidos sugere que a longa cauda desta vulnerabilidade persistirá muito para além da actual emergência.
O episódio também encerra um debate sobre pesquisas ofensivas assistidas por IA. O que era teórico há uma semana é agora um incidente global ao vivo: um sistema de IA encontrou uma forma de transformar bugs que permaneceram inexplorados durante décadas, e todos os governos na Internet estão agora a passar a sua semana a limpá-los.
---
Fique à Frente da IAAs últimas notícias, análises e avanços em inteligência artificial — tudo em um só lugar.
Ler mais notícias de IA →
