Nesta semana, sites de governos, tribunais e grandes empresas sumiram da internet por algumas horas, no Brasil e em vários outros países. Muita gente achou que era um ataque hacker em massa. Não foi bem isso.
O que aconteceu foi a descoberta de um defeito grave no PHP, a tecnologia que faz funcionar a maior parte dos sites do mundo, inclusive os feitos em WordPress. Para não correr riscos, muitas organizações preferiram desligar seus sites enquanto faziam o conserto. O problema ganhou o apelido de PHP2Shell.
O que é a PHP2Shell, em palavras simples
Pense no PHP como a fundação de um prédio. Você não vê, mas é ela que sustenta tudo o que aparece na tela: páginas, formulários, lojas virtuais, áreas de login.
A PHP2Shell são duas falhas nessa fundação. Na prática, é como se a porta dos fundos do prédio ficasse destrancada: um criminoso poderia entrar no servidor e assumir o controle do site sem precisar de senha nenhuma.
Três coisas tornam o caso sério:
- Afeta muita gente. Não é um problema de um site específico, mas da tecnologia por trás de grande parte da internet. A empresa de segurança Wiz estima que cerca de 70% dos sites podem ser atingidos.
- É fácil de explorar. Basta um único acesso malicioso para o ataque funcionar.
- Já há tentativas. Empresas como Amazon e Cloudflare registraram criminosos tentando usar a falha, inclusive antes de ela ser divulgada oficialmente.
Quem desligou os sites
O alerta foi levado a sério no mundo inteiro:
| Onde | O que saiu do ar |
|---|---|
| Brasil | Sistemas de processos eletrônicos de três Tribunais Regionais Federais (TRF-1, TRF-4 e TRF-6) |
| França | Sites de prefeituras e da polícia de Paris |
| Holanda | O sistema de identidade digital do país, o site do Parlamento e de hospitais |
| Japão | Serviços do Ministério das Finanças e de grandes bancos |
| Reino Unido | Páginas da BBC e de prefeituras |
| Internacional | Partes da Wikipédia e do Internet Archive |
Aqui no Brasil, o órgão do governo federal que cuida de incidentes de segurança (CTIR Gov) mandou um alerta para todos os órgãos públicos atualizarem seus sistemas. Segundo o governo, o portal Gov.br não foi afetado.
Por que desligar o site, se não houve ataque?
Imagine que você descobre que a fechadura da sua loja tem defeito e que os ladrões já sabem disso. Enquanto o chaveiro troca a fechadura, o mais seguro é baixar a porta e fechar por algumas horas.
Foi exatamente isso que governos e empresas fizeram. A maioria não foi invadida: desligou os sites por precaução, até instalar a correção. Agências de segurança dos Estados Unidos e do Reino Unido deram essa mesma orientação: atualizar na hora ou tirar o site do ar até conseguir.
A inteligência artificial entrou no jogo
As falhas foram encontradas com ajuda de inteligência artificial, por pesquisadores de segurança e pela OpenAI, criadora do ChatGPT.
Isso mostra os dois lados da tecnologia. A IA ajuda os especialistas a achar falhas mais rápido, mas também facilita a vida dos criminosos, que conseguem montar ataques com menos esforço. Resultado: o tempo entre uma falha ser descoberta e alguém tentar usá-la está cada vez menor.
E o meu site, corre risco?
Se o seu site foi feito em WordPress, a resposta provavelmente é sim, até ele ser atualizado. A boa notícia é que a correção já existe e é simples de aplicar.
- Pergunte a quem cuida do seu site. Pode ser a agência, o desenvolvedor ou a própria empresa de hospedagem. A pergunta é: “o PHP do meu site já foi atualizado contra a falha PHP2Shell?”
- Se você mesmo cuida do site, confira a versão do PHP no painel da hospedagem ou no WordPress, em Ferramentas › Saúde do site. Ela precisa ser igual ou mais nova que 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, conforme o caso.
- Não deixe para depois. Quanto mais tempo o site fica sem correção, maior o risco.
- Fique atento a sinais estranhos, como páginas que redirecionam para outros sites, usuários que você não criou ou alertas do Google sobre o seu site.
Segurança é agir rápido
A PHP2Shell deixa uma lição: proteger um negócio na internet não é só evitar ataques, é reagir rápido quando aparece um problema. Quem atualiza no mesmo dia fica protegido. Quem deixa para depois fica exposto justamente quando os criminosos estão mais ativos.
Na Turion, monitoramos ameaças 24 horas por dia e ajudamos marcas, empresas e figuras públicas a agir antes que um problema vire prejuízo. Ficou em dúvida se o seu site está seguro? Fale com um especialista da Turion.
