O Notícias ao Minuto contactou o professor do Instituto Superior Técnico e especialista em cibersegurança, Miguel Correia, para saber mais sobre o caso que e...

O anúncio de que foram encontradas vulnerabilidades na linguagem de programação PHP abalou o mundo da cibersegurança esta semana, com os responsáveis a já terem lançado uma atualização que visa corrigir os problemas.

Ainda que a atualização já se encontre disponível, o facto de código PHP estar presente na grande maioria dos sites na Internet faz com que a situação seja grave. Torna-se importante saber quais os conselhos que as empresas e organizações que recorram a esta linguagem de programação devem seguir, procurando assim evitar comprometer os respetivos sistemas.

Foi para saber mais sobre a situação que o Notícias ao Minuto contactou Miguel Correia, professor do Instituto Superior Técnico e especialista em cibersegurança que explicou que estas vulnerabilidades presente no PHP estiveram presentes “ao longo dos últimos 15 a 20 anos”.

“Esta vulnerabilidade reúne vários ingredientes para um potencial desastre: pode ser explorada remotamente, por um atacante localizado em qualquer parte do mundo; afeta servidores acessíveis através da Internet; e está presente numa vasta quantidade de software exposto publicamente na rede”, conta o especialista em cibersegurança.

Uma empresa informática externa que trabalhou para o Sistema de Informações da República Portuguesa (SIRP) foi alvo de um ciberataque, o que permitiu a piratas informáticas obter dados não classificados das secretas portuguesas e de outras entidades.

Miguel Correia sublinha que, apesar de os sites não serem desenvolvidos diretamente em PHP, estes “recorrem a plataformas como o WordPress, que são, elas próprias, desenvolvidas nesta linguagem”.

Tendo em conta a forma como o problema está disseminado, Miguel Correia reforça a importância de ser célere a implementar as soluções já disponibilizadas.

“Felizmente, já estão disponíveis correções e versões atualizadas do software que eliminam as vulnerabilidades”, afirma o professor do Instituto Superior Técnico. “Assim, as principais vítimas serão as organizações que não atuarem rapidamente para atualizar os seus sistemas e corrigir o problema”.

O ministro da Presidência disse hoje que o Centro Nacional de Cibersegurança (CNCS) emitiu um conjunto de recomendações para resolver as falhas de segurança nos 'sites' que utilizem a linguagem de programação PHP. Durante o 'briefing' do Conselho de Ministros, António Leitão Amaro explicou que o CNCS enviou às entidades públicas e privadas recomendações que incluíram a indicação para que fosse feita uma atualização dos sistemas, que ficou disponível na quarta-feira ao início da tarde.

"Muitas entidades públicas que temos conhecimento estão a substituir, a fazer o desligamento temporário para fazer a atualização e corrigir essa vulnerabilidade", referiu o ministro da Presidência.

Tal como explicou Leitão Amaro, "foi identificado a nível global uma vulnerabilidade numa ferramenta e numa linguagem de programação que é utilizada numa maioria esmagadora das páginas de internet do mundo inteiro".

A PHP Foundation, a entidade responsável por manter esta linguagem de programação, já se pronunciou oficialmente sobre a descoberta das duas vulnerabilidades. A organização explica que as vulnerabilidades são críticas por se encontrarem em partes do código PHP acedidas em praticamente todos os pedidos.

O caso torna-se ainda mais grave tendo em conta o elevado número de sites que recorrem à linguagem PHP. Estima-se que 70% dos sites na Internet recorram a código PHP, o que significa que (muito provavelmente) todos os internautas têm por hábito usar um site afetado por estas vulnerabilidades.

"A sua posição central no PHP é o que torna ambas as vulnerabilidades graves e, ao mesmo tempo, difíceis de corrigir sem comprometer a compatibilidade, prejudicar o desempenho ou exigir alterações num vasto ecossistema de extensões de terceiros”, pode ler-se no comunicado da PHP Foundation.

Conta a Reuters que estas vulnerabilidades na linguagem de programação PHP foram detetadas pela empresa de cibersegurança Calif em colaboração com a OpenAI. A deteção foi possível recorrendo ao modelo GPT-5.6 Sol da empresa de Inteligência Artificial e foi reportada pela primeira vez no dia 11 de agosto.

Pouco depois, no dia 24 de agosto, a empresa de cibersegurança Wiz - detida pela Alphabet, da Google - também detetou a existência destas vulnerabilidades recorrendo a ferramentas de Inteligência Artificial.

Sobre a descoberta, a Wiz contou que as vulnerabilidades em questão estiveram presentes ao longo de décadas e que “estão entre as mais críticas já detectadas em PHP e, possivelmente, na história do software”. Mais ainda, a empresa de cibersegurança também nota que era excecionalmente difícil para investigadores humanos provarem a existência destas vulnerabilidades, indicando que estavam “na fronteira daquilo que os investigadores humanos era capazes de conseguir na prática”.

Leia Também: OpenAI vai lançar novo modelo de IA focado em cibersegurança