Os responsáveis pelo PHP, a tecnologia em que assenta uma parte muito significativa dos sites do mundo, lançaram esta quarta-feira, dia 21, às 15:00 de Lisboa, atualizações de emergência para corrigir duas vulnerabilidades críticas que permitem a um atacante, sem qualquer credencial, executar código num servidor e assumir o controlo do sistema. A falha, batizada PHP2Shell, foi descoberta com recurso a inteligência artificial.

As correções estão nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP, e a equipa do projeto avisa que só a atualização protege por completo os servidores. As duas vulnerabilidades receberam a classificação de 9,2 numa escala de gravidade de 10 e afetam praticamente todas as versões desde o PHP 5.4. As versões 8.1 e anteriores já não recebem correções de segurança e vão continuar expostas.

Segundo noticia o The Wall Street Journal, o PHP sustenta até 70% das páginas web. A empresa de segurança Calif demonstrou ataques bem-sucedidos contra algumas das plataformas mais usadas, como WordPress, Drupal, Joomla, Magento, phpMyAdmin e Nextcloud. A Cloudflare já detetou as primeiras tentativas de exploração, ainda sem intrusões confirmadas, e a empresa neerlandesa Sansec antecipa ataques em massa. Alguns administradores estão a desligar os sites de forma preventiva.

Volker Dusch, engenheiro de segurança da fundação que gere o PHP, considerou, em declarações ao jornal norte-americano, tratar-se do problema mais grave enfrentado pelo projeto em mais de uma década, comparando-o ao Heartbleed, a vulnerabilidade que em 2014 obrigou a uma corrida mundial para proteger centenas de milhares de servidores.

A falha está relacionada com a forma como o PHP gere a memória do computador. Foi identificada em agosto por Ryan Austin, investigador da Calif, com a ajuda do GPT-5.6 Sol, um dos modelos mais avançados da OpenAI, durante uma auditoria ao código do PHP financiada pela própria OpenAI. O tipo de erro já tinha sido apontado há décadas, mas era considerado demasiado difícil de explorar. A inteligência artificial encontrou o caminho: bastam algumas dezenas de pedidos a um servidor, e em sistemas mais pequenos o ataque demora apenas segundos. Investigadores da Wiz, do Google, e da própria OpenAI chegaram a descobertas semelhantes de forma independente.

O trabalho foi mantido em segredo durante dois meses. A correção obrigou a alterar cerca de 200 ficheiros e a escrever mais de dez mil linhas de código. O lançamento estava marcado para esta quinta-feira, 22 de outubro, mas a existência do problema foi divulgada na terça-feira no fórum Hacker News, o que levou a equipa a antecipar a atualização.

O receio dos especialistas é que, com as correções agora públicas, qualquer pessoa possa usar ferramentas de inteligência artificial para as analisar e produzir ataques em pouco tempo.