Corrida para corrigir falha em software que pode afetar 70% dos sítios na internet

Londres, 23 de outubro de  2026 (RAFA) – Governos e empresas trabalharam durante a noite em atualizações de segurança urgentes, depois de a inteligência artificial ter detetado falhas na linguagem PHP, que sustenta 70% dos sítios na internet em todo o mundo.

Muitos sítios governamentais pareciam funcionar normalmente na quinta-feira, mas continuaram a registar-se falhas ou serviço limitado enquanto o trabalho de segurança decorria.

Peritos ouvidos pela Associated Press consideram que o impacto das vulnerabilidades se fará sentir durante algum tempo, mas que os governos seguem as melhores práticas de cibersegurança ao retirar sítios do ar durante a correção.

A divisão de cibersegurança do FBI alertou na quarta-feira que as falhas podem permitir a atacantes executar código remotamente no PHP, linguagem que alimenta sítios e aplicações web, aumentando o risco de comprometer dados sensíveis e redes.

A agência recomendou que os operadores retirem os sítios do ar se não os conseguirem atualizar de imediato. A Agência da União Europeia para a Cibersegurança (ENISA) aconselhou as organizações a tomarem “medidas imediatas”.

No Reino Unido, alguns serviços governamentais “limitados” poderão estar temporariamente offline durante os trabalhos, indicou o gabinete do primeiro-ministro.

“Já foi feito trabalho em todo o Governo para identificar e corrigir potenciais exposições nos nossos sistemas, e os nossos peritos continuam a trabalhar de perto com a OpenAI e com parceiros internacionais”, afirmou uma porta-voz.

“Nenhum serviço crítico de grande dimensão virado para o público está a ser afetado”, acrescentou.

O sítio do Governo da Finlândia indicou que a perturbação foi resolvida, mas que “parte do conteúdo continua em falta e está a ser restaurada”.

No Japão, o sítio da prefeitura de Osaka informou que o serviço de tradução automática estava “indisponível devido a uma falha de sistema”.

A primeira-ministra japonesa, Sanae Takaichi, partilhou um aviso do Governo e pediu aos administradores de sítios que verifiquem se usam PHP e instalem de imediato a correção divulgada na noite de quarta-feira. “Se for difícil aplicar rapidamente a correção, suspender temporariamente os sítios e medidas semelhantes pode ser considerado uma forma eficaz de reduzir o risco”, afirmou. O secretário-geral do Governo, Minoru Kihara, disse não ter recebido relatos de danos por ciberataques ligados à falha e explicou que partes de alguns sítios públicos foram retiradas do ar, “só por precaução”.

A OpenAI afirmou, num texto no seu blogue, que liderou nos últimos dois meses uma coligação de investigadores e fornecedores de segurança para resolver as vulnerabilidades do PHP. Descreveu as falhas como “um dos problemas de segurança mais impactantes da memória recente” e disse que a inteligência artificial parece ter encontrado as vulnerabilidades antes de quaisquer atacantes.

A Fundação PHP, que reúne programadores que trabalham na segurança da linguagem, divulgou as correções na noite de quarta-feira, com instruções para atualizar os sistemas. A fundação indica que a vulnerabilidade era conhecida pelo menos desde 2024 e assumiu parte da responsabilidade por não ter arranjado uma solução mais cedo.

“O atraso foi uma falha estrutural, causada tanto pelo processo de decisão da equipa de segurança como pela falta de recursos”, reconheceu.

Segundo James Sullivan, diretor de Cibersegurança e Tecnologia do Royal United Services Institute, em Londres, as duas falhas críticas poderiam permitir o acesso sem autenticação aos sítios e, em teoria, o controlo remoto de um servidor sem palavra-passe. Isso permitiria roubar ou alterar dados, ou usar o sistema como plataforma para outros ataques. Retirar sítios do ar durante a correção é “boa prática”, mas é “espantoso” que algumas das falhas tenham mais de uma década, dado que remontam à criação do software, disse.

Uma das vulnerabilidades corrompe a memória do sistema, o que impede que este se lembre de certos dados e permite a um atacante explorá-lo com código próprio. A outra faz com que dados de utilizadores fiquem guardados no sistema em vez de serem apagados, permitindo que um atacante possa aceder-lhes, descarregá-los ou eliminá-los, explicou Sullivan.

Alguns sítios podem continuar em baixo porque existem várias correções para diferentes tipos de software, algumas organizações ainda as esperam e é preciso testá-las.

Resolver o problema por completo pode demorar semanas ou meses. “O potencial raio de ação disto é, francamente, enorme”, afirmou Charl van der Walt, responsável de investigação em segurança da Orange Cyberdefense.

“O que estamos a ver agora são apenas os primeiros tremores. O que ainda vem nas próximas semanas e meses será muito mais significativo.” Segundo ele, o PHP pode estar enterrado em tudo, de blogues a torradeiras ligadas à internet e câmaras de bebé. Não basta os programadores corrigirem os erros: é preciso que as empresas reconheçam que usam o software, identifiquem os sistemas, os responsáveis por eles e avaliem quando e se podem aplicar a correção. O período mais intenso será provavelmente o das próximas semanas, mas podem passar “meses ou anos até se eliminarem os retardatários”.

A inteligência artificial ajuda atacantes e defensores, notam os peritos. “Há boas e más notícias”, disse Sullivan: a IA pode ajudar os atacantes a identificar novas vulnerabilidades, mas também a descobri-las e corrigi-las. Van der Walt avisou que a correção tem de ser robusta, testada e aprovada, e que, em objetos físicos como um pacemaker ou o sistema de entretenimento de um avião, nem sempre é simples chegar ao equipamento.

“Neste momento, penso que estamos numa janela em que o atacante está a tirar mais vantagem da IA do que o defensor”, afirmou.

Sullivan pediu, contudo, que não se transforme isto num cenário futurista em que “estamos todos condenados”. Há passos “básicos” que particulares e empresas podem tomar, entre eles identificar sistemas que possam ser comprometidos, instalar atualizações e correções assim que forem lançadas e usar autenticação de dois fatores.

FIM