Uma falha crítica no software PHP, usado por milhões de websites, causou um alerta mundial de emergência. Executivos de grandes empresas relatam que a situação é a pior em anos, com equipes de TI trabalhando sem parar para corrigir os sistemas antes que hackers explorem a brecha.

O CEO da Microsoft, Satya Nadella, declarou que não viu uma situação semelhante à emergência com PHP "em muito, muito tempo".

Fazendo referência aos esforços globais em andamento para corrigir a falha crítica de segurança cibernética em milhões de websites, ele disse a uma conferência: "Foi um longo dia e uma longa noite, eu sei, para todos os pessoal de TI e segurança".

Relatos da linha de frente do combate digital

Outros especialistas em TI e cyber relataram à BBC suas lutas nas últimas 48 horas. Suas histórias oferecem um vislumbre do que é estar na linha de frente de uma grande emergência cibernética. No entanto, também destacam como a desinformação e o pânico pioraram significativamente a situação.

• A falha está na linguagem PHP: Muito popular, ela impulsiona milhões de sites e duas falhas críticas foram descobertas nela.
• Resposta urgente exigida: Autoridades nacionais de cibersegurança exigiram que equipes baixassem correções de segurança ou tirassem servidores do ar.
• Impacto humano: Administradores relatam noites em claro e pressão enorme para salvar os sistemas dos clientes.
• Papel da IA: Foi a inteligência artificial que encontrou as falhas ocultas por décadas, acelerando a descoberta do risco.
• Risco de 'fadiga de alerta': O excesso de avisos falsos ou alarmistas pode descredibilizar futuras crises reais de segurança.

"Tem sido incessante", diz Adam Mudd, administrador de sistemas com sede no Reino Unido.

Ele disse que nunca teve tantas mensagens de pessoas preocupadas com seus sites. "O maior desafio tem sido equilibrar os clientes que querem tirar seus sites do ar como precaução, enquanto tento coordenar atualizações e correções em incontáveis configurações diferentes", disse ele.

"Às vezes, leva mais tempo derrubar um website do que corrigir o problema do PHP".

O PHP é uma linguagem de programação muito popular que impulsiona milhões de websites.

Mas duas falhas críticas foram encontradas no sistema, levando à resposta de emergência, com autoridades nacionais de cibersegurança exigindo que as equipes de TI baixassem um correção de segurança urgentemente ou tirassem websites e servidores offline.

Mudd diz que, desde então, tem estado sob enorme pressão e perdeu uma enorme quantidade de sono, trabalhando cedo e só terminando às 22h30 (horário do Reino Unido) para proteger os sistemas de seus clientes.

Experiência comparável a filme de ação

Em Maurício, o administrador de TI Loganaden Velvindron disse que também esteve ocupado desde que sua equipe percebeu quanta parte do software depende do PHP.

"Muitas versões do PHP em execução estão completamente no fim da vida, então estamos tendo que reconstruir aplicativos web e mudar o código em alguns casos", disse ele.

Ele disse que parte do problema foi que o anúncio sobre as vulnerabilidades de segurança no PHP veio como surpresa, sem muito tempo para se preparar para a ação.

Jon Jones, diretor técnico de uma empresa de publicidade digital, também foi impulsionado para a ação pelos alertas.

"Ver o alerta cair foi definitivamente revelador e uma nova experiência com a qual não lidamos antes", disse ele.

"Mas, de certa forma, foi emocionante, sentindo-se um pouco como uma cena de ação de Hollywood".

Corrida pela atualização e dúvidas sobre hackers

A Fundação PHP, que gerencia a linguagem de programação, lançou seu correção de software e houve uma corrida para que as pessoas o baixassem.

Jones disse que parecia "a corrida estava acesa" quando o patch (correção) foi lançado às 15h00 (horário do Reino Unido) na quarta-feira.

"Também foi um pouco tenso, pois qualquer pessoa que já tenha aplicado atualizações de software sabe que sempre há uma chance de que uma atualização possa causar outros problemas", disse ele.

A pressa ocorreu quando alguém vazou detalhes da falha do PHP antecipadamente e houve rumores fortes de que criminosos cibernéticos já estavam tentando realizar ataques.

Mas especialistas em ciber também estão agora questionando se esses rumores eram reais.

"Fomos inundados com informação inútil sobre hackers lá fora ativamente com métodos de Prova de Conceito (PoC) funcionais", disse o especialista em ciber do Reino Unido, Daniel Card.

Ele disse que também esteve ocupado desde terça-feira, quando os rumores sobre hacks no PHP começaram a circular.

"Esta não é a primeira vez que tivemos uma situação como esta, mas parece que está em outra dimensão", disse ele.

Ele concordou que, no papel, as vulnerabilidades do PHP eram muito sérias e deveriam ser levadas a sério, mas ele e muitos outros estão frustrados com a desinformação sobre hackers em atividade.

Miedo de fadiga de alertas e falhas de comunicação

Além dos alertas de agências governamentais incluindo o Primeiro-Ministro do Japão as empresas de segurança cibernética também cometeram erros que não ajudaram.

Uma grande empresa do setor emitiu avisos dizendo que os hackers tinham uma PoC funcional apenas para ter que retratar isso.

Apesar dos avisos da Cloudflare e AWS de que "milhões de tentativas de hackeio" haviam sido feitas a cada hora, não há evidência de vazamentos de dados em grande escala ou ataques cibernéticos.

É verdade que os hackers têm sido vistos usando IA para tentar construir métodos de ataque, mas nenhum deles parece estar funcionando em grande escala no momento algo que pode mudar em breve.

A IA também foi usada para encontrar as falhas do PHP, que estavam ocultas para pesquisadores humanos por décadas.

Todos os trabalhadores de TI com quem falamos concordaram que esse tipo de falha grave será descoberto com mais frequência agora que as ferramentas de IA ficaram tão boas em hackear.

Mas alguns na indústria estão preocupados com a forma como as pessoas foram informadas sobre as vulnerabilidades críticas no PHP, temendo que as melhorias em IA tragam mais incidentes como este.

"Vamos encontrar vulnerabilidades assustadoras com as capacidades incríveis que a OpenAI e a Anthropic estão colocando online, mas precisamos calibrar a mensagem", publicou Mark Maunder, fundador da Wordfence uma ferramenta de segurança para WordPress.

Ele disse que havia um risco de "fadiga de alerta", que poderia ser um grande problema se surgisse uma vulnerabilidade totalmente explorável e séria.