A inteligência artificial (IA) descobriu falhas de segurança em PHP, uma linguagem de programação utilizada em 70% dos sites na internet. Essa descoberta leva governos e empresas de todo o mundo a interromper o serviço para se protegerem.
O que é PHP e para que serve?
Criado no início da década de 1990, o PHP é uma linguagem de programação que faz funcionar aproximadamente 70% das páginas da web do mundo. Ao contrário de um site estático, que sempre envia a mesma página para todos os usuários, um site em PHP é considerado "dinâmico".
Isso significa que ele gera seu conteúdo consultando um banco de dados, verificando se o usuário iniciou sessão, exibindo informações personalizadas ou atualizando o conteúdo em tempo real. É "a espinha dorsal da web", segundo a empresa de cibersegurança Wiz Research, que afirma ter usado IA para detectar vulnerabilidades ocultas em PHP há mais de 10 anos.
O PHP é utilizado em plataformas de criação de sites, como WordPress, Drupal ou PrestaShop. As falhas descobertas poderiam permitir que hackers acessassem um grande número desses sites, de lojas online a serviços públicos. Por isso, muitos deles foram desconectados de forma preventiva.
Como a IA detectou as falhas?
A Wiz e outros grupos usam modelos de IA de última geração, como os dos gigantes americanos OpenAI e Google, para revelar os pontos fracos do PHP em agosto. Essa descoberta foi mantida em segredo até que uma solução fosse desenvolvida.
A OpenAI fala de "uma nova etapa, em que a IA pode detectar falhas de segurança com impacto em escala de internet". Paralelamente à Wiz, a empresa de cibersegurança Calif descobriu as falhas durante uma auditoria do código PHP financiada pela OpenAI. O problema é que "no momento em que todas as informações se tornam públicas, as pessoas podem transformá-las em armas com extrema rapidez", declara à AFP Steve Kerrison, professor de cibersegurança na Universidade James Cook, campus de Singapura. "É por isso que todos agem com tanta urgência para lidar com o problema", acrescenta Kerrison.
Sites foram hackeados?
O fato de páginas da web estarem fora do ar não significa necessariamente que tenham sido hackeadas. "Pode tratar-se de uma medida responsável para proteger os sistemas enquanto são aplicadas atualizações de segurança", explica Dimitrios Salampasis, da Universidade de Tecnologia de Swinburne, na Austrália.
Segundo a Agência de Segurança Nacional dos Estados Unidos, as falhas descobertas "frequentemente oferecem acesso direto ao sistema de arquivos ou ao banco de dados do servidor", o que potencialmente permite que um hacker assuma o controle desses servidores sem sequer precisar digitar uma senha. Até agora, "os pesquisadores de segurança verificaram que ninguém está realizando ataques cibernéticos de forma ativa", ressalta Salampasis.
As grandes instituições, desde órgãos governamentais até veículos de comunicação, deveriam ser capazes de corrigir seus sites com relativa rapidez, mas outros podem continuar vulneráveis. "Alguns sites, sistemas e pessoas não terão a menor ideia do que está acontecendo e permanecerão na ignorância por dias, semanas ou até meses", alerta Kerrison.
Isso pode incluir blogs ou outros sites administrados por particulares, que podem ser usados para espalhar vírus, spam ou conteúdo malicioso. Para mais informações sobre incidentes com IA, confira nosso artigo relacionado.
Haverá mais consequências?
A natureza complexa dos sistemas online, que usam interfaces de terceiros, faz com que algumas falhas possam persistir mesmo depois de o problema ter sido resolvido. Se essas interfaces de terceiros utilizarem PHP, mesmo que o problema tenha sido corrigido, "você continua vulnerável", ressalta Rahat Masood, professor de cibersegurança na Universidade de Nova Gales do Sul, em Sydney.
Medidas sólidas de cibersegurança devem incluir várias camadas de defesa, lembra Kerrison.