Duas falhas graves no PHP levaram governos e empresas a tirar sites do ar nesta quarta-feira (21). O alcance do problema é explicado pela popularidade da linguagem de programação, criada há mais de 30 anos e utilizada por 69,3% dos sites cuja linguagem de servidor é conhecida, segundo levantamento da W3Techs.

Em entrevista ao Canaltech, Rafael Silva, coordenador acadêmico da FIAP, explica que essa popularidade está relacionada ao baixo custo de desenvolvimento, à facilidade de encontrar serviços de hospedagem e ao crescimento de plataformas como o WordPress.

O PHP funciona nos servidores e é responsável por processar informações antes que elas apareçam no navegador. Em uma loja virtual, por exemplo, a linguagem pode ser utilizada para consultar produtos, atualizar o carrinho de compras e interagir com o banco de dados.

Apesar da idade, o PHP continua recebendo atualizações e sendo utilizado em novos projetos. Sua presença em tantos sistemas, porém, amplia o alcance potencial de vulnerabilidades como as descobertas nesta semana.

Por que tantos sites continuam utilizando PHP?

Criado por Rasmus Lerdorf em 1994 e disponibilizado publicamente em 1995, o PHP cresceu junto com a expansão da internet, quando empresas buscavam maneiras simples e baratas de desenvolver seus primeiros sites.

Segundo Silva, essa facilidade de adoção foi um dos principais fatores para a popularização da linguagem.

O professor também destaca o papel do WordPress, sistema de gerenciamento de conteúdo que utiliza PHP e está presente em aproximadamente 39,6% dos sites da internet, segundo a W3Techs.

Com essa expansão, surgiu um mercado de empresas de hospedagem, desenvolvedores e ferramentas especializadas, facilitando a criação e a manutenção de aplicações.

“Quando uma tecnologia funciona bem, tem um custo acessível e atende às necessidades do negócio, não existe necessariamente um motivo para substituí-la”, afirma Silva.

Essa estrutura também explica por que empresas ainda escolhem PHP para desenvolver sites, portais de notícias e lojas virtuais.

De acordo com o professor, a linguagem possui serviços de hospedagem acessíveis e uma grande quantidade de profissionais disponíveis. Isso pode reduzir os custos de desenvolvimento e manutenção, especialmente para negócios que já utilizam a tecnologia.

Entretanto, a escolha depende das necessidades de cada projeto. Linguagens como Python e JavaScript também podem ser utilizadas no desenvolvimento de aplicações web, com características e vantagens diferentes.

PHP é uma tecnologia ultrapassada?

Apesar de ter mais de três décadas de história, o PHP passou por diferentes atualizações que melhoraram seu desempenho, segurança e recursos disponíveis aos desenvolvedores.

Para Silva, os problemas aparecem principalmente quando empresas continuam utilizando aplicações antigas sem acompanhar a evolução da linguagem.

“Uma tecnologia com 30 anos de história pode continuar sendo bastante eficiente. O que não podemos é utilizar práticas de 20 anos atrás para proteger aplicações que estão expostas às ameaças de hoje”, afirma.

O professor explica que sistemas desenvolvidos há 10 ou 15 anos podem acumular dependências e integrações que tornam sua manutenção mais complexa.

Isso não significa que uma linguagem antiga seja necessariamente menos segura. Tecnologias mais recentes também podem apresentar vulnerabilidades críticas, enquanto sistemas antigos podem continuar funcionando com segurança quando recebem a manutenção adequada.

O caso desta semana, entretanto, mostrou que até linguagens amplamente utilizadas e analisadas por especialistas podem esconder problemas graves durante anos.

Segundo Silva, a inteligência artificial também está mudando esse cenário ao acelerar a análise de códigos e a identificação de vulnerabilidades.

Por que é tão difícil atualizar milhões de sites?

Um dos principais desafios está na quantidade de sistemas que dependem do PHP e precisam continuar funcionando após uma atualização.

Silva utiliza como exemplo uma loja virtual criada há dez anos, que pode reunir dezenas de plugins, sistemas de pagamento, ferramentas de estoque e funcionalidades desenvolvidas especificamente para determinada versão da linguagem.

Uma atualização pode provocar incompatibilidades em alguns desses componentes e, dependendo do problema, interromper as vendas.

Por isso, empresas sem equipes ou ambientes preparados para testar mudanças podem adiar a instalação de novas versões.

O professor ressalta, porém, que nem toda atualização exige uma migração completa. Muitas correções de segurança podem ser aplicadas com impacto menor sobre as aplicações.

Outro desafio é identificar todos os sistemas que utilizam PHP dentro de uma organização.

“O desafio imediato não é apenas instalar uma correção, mas identificar e gerenciar todas as instâncias em que o PHP está em execução”, afirma Don Smith, vice-presidente de Inteligência de Ameaças da Sophos CTU.

Segundo o especialista, a linguagem pode estar presente em plataformas de hospedagem, sistemas de gerenciamento de conteúdo e produtos de terceiros, sem que isso seja evidente para os responsáveis pela infraestrutura.

As duas vulnerabilidades divulgadas nesta semana receberam nota 9,2 de 10 em gravidade e podem permitir a execução de comandos maliciosos em servidores.

Os desenvolvedores do PHP já disponibilizaram quatro versões corrigidas: 8.2.35, 8.3.36, 8.4.27 e 8.5.12.

A recomendação para os administradores é identificar as instalações vulneráveis e aplicar as atualizações imediatamente. Quando isso não for possível, a Sophos orienta isolar os sistemas afetados da internet até que possam ser protegidos.

Veja também: Falhas no PHP chegam ao Brasil e fazem Anatel e tribunais suspenderem sistemas

{{WHATSAPP_CHANNEL}}