Você sabe se sua empresa depende de PHP?

Governos e empresas de vários países passaram as últimas horas em uma corrida para corrigir duas falhas graves de segurança no PHP, linguagem de programação utilizada em aproximadamente 70% dos sites da internet. As vulnerabilidades, descobertas com auxílio de inteligência artificial, podem permitir que invasores assumam o controle de servidores e tenham acesso a informações confidenciais.

Segundo o panorama divulgado nesta quinta-feira, 22, pela CNN, a emergência provocou a suspensão temporária de serviços de empresas japonesas como a companhia aérea ANA, a operadora ferroviária JR West e o banco MUFG. Sites governamentais de países europeus foram retirados do ar preventivamente. No Reino Unido, quase três dezenas de serviços públicos ficaram indisponíveis enquanto eram realizadas atualizações.

As falhas, conhecidas conjuntamente como PHP2Shell, existiam havia mais de uma década. Foram descobertas no fim de agosto e divulgadas em 21 de outubro, depois de um trabalho coordenado de pesquisadores e empresas de tecnologia para desenvolver correções. A rede Cloudflare informou ter identificado milhões de tentativas de exploração.

No Brasil, o Centro Integrado de Segurança Cibernética do Governo Digital emitiu um alerta aos órgãos federais, recomendando a atualização imediata dos sistemas afetados.

Por que interessa

O episódio merece atenção por ao menos duas razões.

A primeira é a amplíssima difusão do PHP. Empresas que nunca ouviram falar dessa linguagem podem depender dela para vender produtos, atender clientes, administrar informações ou simplesmente manter seus sites funcionando. 

A segunda é o papel desempenhado pela inteligência artificial. A tecnologia está acelerando a descoberta de vulnerabilidades e ampliando as capacidades de quem deseja explorá-las. Isso reduz o tempo das empresas para se estruturarem para identificar ameaças e reagir a elas.

Lupa: onde o PHP entra na atividade empresarial

Criado nos anos 1990, o PHP é uma linguagem utilizada para desenvolver páginas e aplicações que executam tarefas nos servidores da internet. Está presente em plataformas populares de publicação de conteúdo, comércio eletrônico e gestão de sites.

O WordPress, por exemplo, utiliza PHP e serve de base a milhões de sites corporativos. A linguagem também está presente em sistemas desenvolvidos sob medida, portais de clientes e aplicações administrativas.

O PHP pode fazer parte da operação de uma empresa sem que ninguém internamente saiba disso. Muitas organizações contratam um ou mais fornecedores para desenvolver e hospedar suas aplicações e desconhecem as tecnologias utilizadas.

É importante distinguir a presença do PHP da exposição efetiva às vulnerabilidades recém-descobertas. O risco depende das versões e configurações utilizadas. Ainda assim, o episódio evidencia uma dependência que pode permanecer invisível até resultar em crise de operação (e imagem). 

Panorama: a IA muda o cenário da segurança digital

A descoberta do PHP2Shell ilustra uma transformação que já vinha sendo apontada por empresas especializadas em cibersegurança.

Segundo a Wiz, empresa americana de cibersegurança especializada em computação em nuvem, pertencente ao Google e participante da investigação sobre as falhas no PHP, um pesquisador apoiado por modelos avançados de IA conseguiu realizar em uma semana um trabalho que anteriormente exigiria meses de uma equipe especializada. A tecnologia permitiu transformar falhas antigas, cuja exploração era complexa, em vulnerabilidades passíveis de ataques.

Essas ferramentas também podem ser utilizadas por criminosos.

Em seu relatório de ameaças de 2026, a CrowdStrike identificou crescimento de 89% nos ataques atribuídos a agentes criminosos que utilizavam IA, em comparação com 2024. A empresa registrou ainda uma redução de 48 para 29 minutos no tempo médio necessário para que um invasor avançasse do acesso inicial a outros sistemas.

A Anthropic, por sua vez, documentou operações nas quais a IA foi utilizada para desenvolver ferramentas, organizar campanhas e adaptar procedimentos de invasão. E uma pesquisa global da PwC, com quase 4 mil líderes empresariais e de tecnologia, revelou que metade dos responsáveis por segurança consultados identifica ataques contra sistemas de IA entre suas principais lacunas de preparação.

A IA pode ampliar tanto capacidades de ataque quanto de defesa. O desafio das empresas é não permitir que as primeiras fiquem amplamente defasadas em relação às segundas. 

Radar empresarial: o lugar da TI na estrutura de poder

A principal lição do episódio não diz respeito a softwares, mas à governança empresarial.

Durante muito tempo, foi possível tratar a tecnologia da informação como uma atividade de apoio: uma equipe encarregada de manter computadores e sistemas funcionando, subordinada às prioridades estabelecidas por outras áreas.

Esse arranjo tornou-se inadequado para muitos negócios. A tecnologia passou a sustentar vendas, produção, logística, atendimento, pagamentos e decisões gerenciais. Uma interrupção pode comprometer simultaneamente diversas atividades.

Isso não significa que toda empresa precise criar uma diretoria de TI. O modelo adequado depende do porte, da complexidade e do grau de dependência tecnológica de cada organização.

Mas mesmo empresas pequenas precisam definir quem responde pelas decisões relevantes nessa área – quem mantém contato direto com fornecedores e faz circular dentro de casa informações importantes sobre tecnologia. 

Em organizações maiores, o novo debate diz respeito à posição da área de tecnologia na hierarquia, sua participação nas decisões estratégicas e a relação com áreas como finanças e operações. 

O episódio do PHP representa um incentivo para que conselhos, sócios e diretorias examinem sua própria arquitetura organizacional: a importância atribuída à tecnologia nas decisões corresponde à dependência que a empresa tem dela? 

Uma empresa pode terceirizar integralmente a operação de seus sistemas. Não pode, porém, transferir aos fornecedores a responsabilidade pelas consequências de uma pane  para seus clientes e seus negócios.

Resumo da ópera

As falhas do PHP mostram que uma vulnerabilidade em um componente tecnológico pode atingir empresas e governos em escala global. Com a inteligência artificial acelerando tanto a descoberta quanto a exploração de problemas, a capacidade de resposta torna-se ainda mais importante. Quanto mais a operação de uma empresa depender da tecnologia, maior deve ser seu peso na sua estrutura decisória e de responsabilidades.