O terramoto nos alicerces da Web passou à prática: Hackers à caça forçam sites críticos a desligar

Vinte e quatro horas após a revelação de que modelos de inteligência artificial desvendaram vulnerabilidades críticas com mais de uma década no coração do PHP, o cenário digital transformou-se numa corrida contrarrelógio.

Com ferramentas de teste e códigos com vista a explorar as vulnerabilidades (exploits) a circular publicamente em fóruns técnicos, agentes maliciosos iniciaram uma vaga de varrimentos automáticos à escala global em busca de servidores que continuam sem as correções de emergência instaladas, de acordo com os boletins de cibersegurança internacionais.

Perante a ameaça iminente de execução remota de código (RCE), a banca internacional, grandes empresas e administrações públicas estão a recorrer a uma solução drástica: desligar temporariamente páginas e serviços digitais da rede enquanto instalam correções nos seus serviços.

A decisão segue as diretrizes de emergência emitidas por entidades como o CERT-EU, o Centro Nacional de Cibersegurança (CNCS) em Portugal e a norte-americana CISA. A recomendação é taxativa: as organizações que não consigam aplicar os patches de imediato nos seus ambientes de produção devem retirar os sistemas afetados da Internet para evitar que sirvam de porta de entrada.

O risco lateral na banca

Ainda que os sistemas centrais responsáveis pelas transações e as redes de liquidação financeira não operem sobre PHP, a proliferação da linguagem em plataformas periféricas teve alertas máximos nos departamentos de risco, segundo noticiou esta manhã a imprensa especializada japonesa — o setor financeiro asiático foi o primeiro a detetar as perturbações.

Portais institucionais, sistemas de apoio ao cliente, áreas públicas de simulação e interfaces periféricas (API) que dependem de PHP podem ser instrumentalizados como vetores de penetração lateral.

No Japão, grandes instituições financeiras como o Mitsubishi UFJ Financial Group e a corretora Nomura suspenderam páginas web e acessos a serviços digitais durante várias horas para trabalhos de manutenção urgente.

Movimentos idênticos de indisponibilidade preventiva foram registados em múltiplos países europeus, afetando desde ministérios e tribunais até redes de saúde e portais de previdência social, que optaram pela suspensão temporária do tráfego público para proceder à reinstalação e compilação dos módulos corrigidos.

Sensores acusam pico de tentativas de invasão

Do lado defensivo, o tráfego hostil é já palpável. Redes de monitorização de operadores de infraestrutura e cibersegurança — incluindo a Cloudflare, a Amazon Threat Intelligence e a watchTowr — confirmaram um aumento acentuado de pesquisas automatizadas destinadas a identificar instâncias expostas de servidores web sob o ecossistema PHP.

A preocupação aumentou após terem sido divulgados pormenores técnicos e vetores de ataque antes do fecho previsto dos embargos, encurtando a janela de defesa.

O ponto mais frágil da Internet reside agora no vasto universo de instalações antigas e servidores sem gestão humana ou automatizada ativa.

Embora o projeto PHP tenha disponibilizado versões corrigidas para os ramos suportados (8.2, 8.3, 8.4 e 8.5), milhões de páginas alojadas em planos de partilha (shared hosting) ou a correr versões obsoletas (como PHP 7.x) continuam desprotegidas, tornando-se o alvo preferencial de botnets — sistemas automáticos — que tentam transformar esses equipamentos em plataformas para novos ataques.