Internet esteve à “beira do colapso” e o PHP só tem um funcionário?

A descoberta de duas falhas críticas no PHP, uma das linguagens mais utilizadas na web, desencadeou uma resposta urgente da comunidade de segurança. Segundo a W3Techs, cerca de 69% dos sites cuja linguagem de programação do lado do servidor é conhecida utilizam PHP. As vulnerabilidades, que podem permitir a execução remota de código, expuseram um problema preocupante: uma tecnologia essencial para milhões de serviços digitais depende de uma estrutura com recursos financeiros e humanos muito limitados.

PHP: a verdade sobre a segurança web

Por trás desta tecnologia não está uma multinacional com recursos ilimitados, mas uma fundação sem fins lucrativos que financia parte do seu desenvolvimento e manutenção.

Segundo Elizabeth Barron, diretora executiva da Fundação PHP, a organização conta com apenas uma funcionária a tempo inteiro, a própria, e 14 prestadores de serviços, maioritariamente a tempo parcial. Contudo, o PHP não depende exclusivamente destas pessoas, contando também com uma comunidade internacional de programadores e colaboradores.

O problema está na escassez de recursos dedicados à manutenção e segurança de uma linguagem utilizada em milhões de sites.

Pressão da IA sobre uma equipa no limite

A rotina desta estrutura complicou-se com a explosão das ferramentas de inteligência artificial no último ano. Se a automação ajuda investigadores a detetar falhas antigas, também provocou uma enxurrada de código submetido que quase duplicou face ao ano anterior. Sem reforço de pessoal, a equipa tem de analisar manualmente relatórios e sugestões para separar alertas reais de disparates gerados por algoritmos.

Desta vez, o pior foi travado porque várias empresas de segurança cooperaram diretamente com a fundação antes que o desastre se materializasse. Fornecedores de proteção de rede registaram milhões de tentativas de invasão assim que as vulnerabilidades se tornaram públicas.

Os remendos fecharam a porta nos sistemas atualizados, mas o verdadeiro perigo continua ativo longe dos holofotes.

Perigo das versões que ninguém quer atualizar

Uma das maiores ameaças à segurança da web está na quantidade de servidores que continuam a utilizar software desatualizado. Segundo a W3Techs, cerca de 34% dos sites que utilizam PHP ainda recorrem às versões principais 7, 5 ou 4, que já perderam o suporte oficial de segurança. Embora nem todas as instalações estejam automaticamente vulneráveis, a ausência de atualizações regulares aumenta significativamente o risco de exploração de falhas, sobretudo quando os sistemas estão expostos à Internet.

A atualização para versões mais recentes nem sempre é simples. Aplicações antigas, extensões e dependências podem apresentar incompatibilidades, obrigando a alterações no código e a testes adicionais. Por isso, muitas empresas adiam estas intervenções enquanto os serviços continuam a funcionar. O problema é que os custos de uma atualização podem acabar por ser muito inferiores aos prejuízos provocados por um ataque, incluindo a interrupção de serviços e o comprometimento de dados.

A situação torna-se ainda mais preocupante quando uma tecnologia utilizada por milhões de sites depende de recursos limitados para garantir a sua evolução e segurança. Apesar de contar com uma vasta comunidade de programadores, a Fundação PHP enfrenta dificuldades de financiamento e de capacidade técnica. O verdadeiro perigo não está apenas nas vulnerabilidades do código, mas também na falta de investimento na manutenção e modernização das tecnologias de que grande parte da web depende diariamente.