Falha crítica no PHP tirou sites do ar no mundo todo, e a correção levou dois anos

Um conjunto de vulnerabilidades críticas no PHP, a linguagem de código aberto que sustenta cerca de 70% dos sites do mundo, obrigou governos e empresas a retirarem páginas do ar para evitar invasões. As falhas permitiam que criminosos assumissem o controle de servidores sem precisar de login ou senha. A atualização de correção já existe, mas o estrago na confiança é grande: no Brasil, a Anatel e tribunais suspenderam por precaução o acesso ao SEI.

O detalhe mais incômodo é o tempo. A Fundação PHP afirma que os primeiros sinais surgiram ainda em 2024, durante uma auditoria externa de segurança, e mesmo assim a correção ficou parada por meses. Os motivos escancaram a fragilidade do modelo de código aberto do qual todo mundo depende: dificuldade de decisão na equipe de segurança, ausência de uma forma conhecida de explorar a falha e a sobrecarga dos poucos desenvolvedores que realmente entendem o funcionamento do PHP, quase todos financiados por fundações ou atuando como voluntários.

Empresas de segurança confirmaram as falhas de forma independente e encontraram novas formas de explorá-las, usando modelos de IA para revelar brechas que passaram mais de uma década sem resposta. A lição é direta: a infraestrutura que roda Facebook, Wikipedia e WordPress não pode continuar dependendo de um punhado de voluntários exaustos. Financiar a manutenção do código aberto deixou de ser caridade e virou questão de segurança global.