Palavra de Sá

O que é PHP e a falha grave de segurança detectada por IA que tirou sites do ar

Durante mais de uma década, falhas graves passaram despercebidas em uma tecnologia usada por grande parte da internet. Foi preciso que a inteligência artificial as trouxesse à tona, causando um alerta global de segurança cibernética.

As vulnerabilidades estão em uma linguagem de programação chamada PHP, que tem sido usada no mundo todo desde os anos 2000 para construir sites.

Governos e agências de segurança cibernética em todo o mundo estão se mobilizando para conter as consequências da descoberta feita na quarta-feira (21/10) e instaram os operadores de sites a instalarem uma nova correção de emergência ou a considerarem a possibilidade de desativar suas plataformas.

A empresa de cibersegurança Wiz — cujos pesquisadores ajudaram a descobrir as vulnerabilidades — descreveu as falhas como as "mais graves" já detectadas por IA.

A OpenAI — cuja tecnologia foi usada para encontrar as falhas — classificou a descoberta como "um dos problemas de segurança mais impactantes da história recente".

<><> O que é PHP?

Muitas pessoas podem nunca ter ouvido falar de PHP, mas provavelmente interagem com ele diariamente.

PHP é uma sigla em inglês para Hypertext Preprocessor. É a base de um grande número de plataformas, incluindo lojas online, a Wikipédia e o WordPress — o sistema de gerenciamento de conteúdo por trás de muitos sites, como blogs.

Quando você visita um site como a Wikipédia, o PHP é o código que coleta as informações necessárias e as apresenta de uma forma que você consiga lê-las na internet, afirma Paul Spain, diretor executivo da Gorilla Cyber Security, à BBC.

<><> Qual é a vulnerabilidade?

Todos os sites que usam PHP ficaram expostos devido a uma falha que permite que hackers assumam o controle dos servidores de internet afetados sem autenticação e roubem dados confidenciais.

A inteligência artificial pode tornar esses ataques ainda mais fáceis e rápidos, afirma Paul Spain. Ele estima que a falha poderia afetar "milhões" de sites.

A pesquisadora de segurança cibernética Jill Slay, da Universidade de Adelaide, afirma que seria "desastroso" se hackers ou países explorassem a falha e roubassem dados privados de sites.

<><> Quais sites foram afetados?

O alerta interrompeu serviços em todo o mundo, desde plataformas de jogos a portais governamentais e fóruns online.

Isso inclui a Wikimedia — a organização por trás da enciclopédia online Wikipédia — que desativou vários de seus sistemas como medida de precaução.

O governo da Finlândia, a prefeitura de Edimburgo, a agência de segurança cibernética da Holanda e a BBC estão entre os que retiraram seus sites do ar por um período.

Diversas organizações públicas da Escócia, incluindo conselhos e autoridades de saúde, também desativaram seus sites.

Alguns especialistas alertam que a vulnerabilidade pode deixar sites com baixo nível de manutenção — particularmente aqueles pertencentes a organizações menores com recursos de segurança limitados — em maior risco.

É provável que ocorram mais tentativas de explorar essas falhas nas próximas semanas, já que os detalhes técnicos estão sendo divulgados agora, afirma o pesquisador de segurança cibernética Salil Kanhere, da UNSW Sydney.

<><> O que aconteceu depois que as falhas foram expostas?

Os desenvolvedores da plataforma PHP lançaram na quarta-feira atualizações para corrigir as vulnerabilidades que estavam presentes no software há anos.

"Recomenda-se fortemente que todos os usuários do PHP façam atualizações imediatamente", disse a empresa.

Autoridades e organizações de segurança em todo o mundo reiteraram esses alertas aos operadores de sites para que protejam suas plataformas.

A Agência de Segurança Nacional dos EUA alertou todas as organizações que utilizam PHP para que desliguem seus sistemas caso não consigam corrigir a falha imediatamente, acrescentando que ela pode fornecer um "caminho direto" para explorar o banco de dados de um sistema.

"Esses riscos são graves o suficiente para exigir correções imediatas em todos os departamentos e agências do governo dos EUA", disse a agência.

O Centro Nacional de Segurança Cibernética do Reino Unido fez recomendações semelhantes e orientou organizações a verificarem a existência de "portas traseiras instaladas por um invasor".

Autoridades de segurança na União Europeia, em Singapura e na Austrália também emitiram alertas semelhantes.

A primeira-ministra japonesa, Sanae Takaichi, pediu às pessoas que verificassem se seus sites públicos utilizavam a linguagem PHP.

"Temos um pedido urgente para que todos tomem providências esta noite", escreveu Takaichi no X.

"Se for difícil aplicar a correção prontamente, a suspensão temporária de sites e medidas semelhantes podem ser consideradas uma forma eficaz de reduzir o risco", disse ela.

Empresas de tecnologia também estão correndo contra o tempo para proteger seus sistemas.

A gigante do comércio eletrônico Amazon afirmou ter sido alvo de múltiplas tentativas de ataque dias antes da divulgação pública da vulnerabilidade no PHP. Não se sabe como os hackers tomaram conhecimento da vulnerabilidade.

<><> Como a IA esteve envolvida?

As vulnerabilidades foram descobertas por pesquisadores das empresas de segurança Calif e Wiz.

Os pesquisadores utilizaram ferramentas avançadas de IA capazes de analisar o código e encontrar falhas muito mais rapidamente do que os humanos ou os sistemas mais antigos.

"O software moderno é incrivelmente complexo e algumas vulnerabilidades podem permanecer sem ser detectadas por anos", disse Kanhere.

"Os problemas subjacentes não eram novos; o que mudou foi nossa capacidade de encontrá-los", disse Kanhere.

Detalhes da descoberta vazaram online esta semana, forçando os desenvolvedores da plataforma PHP a divulgarem às pressas o anúncio da falha de segurança e sua enorme escala.

O incidente "destaca como a IA pode descobrir falhas de segurança", mas também como ela pode "ajudar invasores a desenvolver rapidamente ferramentas", disse a OpenAI em uma postagem no blog.

A empresa, que é dona do ChatGPT, afirmou ter lançado um programa para verificar se a plataforma PHP é segura.

"Muitas dessas falhas decorrem da forma como o software era construído no passado, priorizando a funcionalidade em detrimento da segurança", afirmou Ryan Ko, do Centro de Pesquisa Cibernética da Universidade de Queensland.

<><> O que as pessoas podem fazer para se proteger?

Os proprietários de sites estão sendo aconselhados a proteger seus sites com a versão mais recente do PHP.

Segundo Spain, a correção do software PHP é uma pequena alteração de rotina para a maioria das equipes de TI.

A Agência de Segurança Nacional dos EUA recomendou "maior atenção" nas próximas semanas e o acompanhamento rigoroso das atualizações dos fornecedores de software.

A responsabilidade recai principalmente sobre os operadores dos sites, mas os usuários devem ficar atentos a quaisquer avisos de segurança emitidos pelos serviços afetados, como solicitações para alterar senhas, disse Kanhere.

Ele alertou as pessoas para que fiquem atentas a quaisquer mensagens de phishing que explorem a publicidade em torno do incidente.

¨      Por que algoritmo parece colocar o eleitor dentro de bolha política

Em meio às eleições, muitas pessoas passaram a relatar a sensação de que discutem ou até brigam sobre política com indivíduos que não recebem as mesmas informações que elas. Segundo especialistas, isso tem relação com a forma como as redes sociais selecionam e distribuem conteúdos.

As plataformas costumam favorecer a formação de bolhas, nas quais os usuários são expostos com maior frequência a publicações semelhantes àquelas que demonstram interesse. Assim, quem apoia determinado candidato costuma se deparar com mais frequência com conteúdos favoráveis a ele.

A seleção de conteúdos é feita por sistemas de recomendação que utilizam algoritmos para identificar padrões de comportamento e definir quais publicações devem gerar mais interesse em cada usuário.

"Esse algoritmo é uma fórmula que customiza aquilo que o usuário vê em uma determinada plataforma. Ele é customizado para que o indivíduo passe o máximo de tempo ali e consuma cada vez mais, por isso são oferecidos conteúdos que ele tenha prazer em acompanhar", explica o pesquisador Emilio Alves DON, que estudou os algoritmos e a opinião pública durante doutorado na Escola de Comunicações e Artes da Universidade de São Paulo (USP).

"Passamos meses nos alimentando de determinadas informações, inclusive sobre política, achando que aquilo que recebemos é o mesmo que a maioria das pessoas recebe, mas não é. Estamos recebendo conteúdos muito específicos, conforme o comportamento de cada um", acrescenta DON.

Essas bolhas criam uma forma de "realidade paralela", diz a cientista política Luciana Fernandes Veiga, da Universidade Federal do Estado do Rio de Janeiro (Unirio) e da Fundação Getulio Vargas (FGV). "Às vezes, alguém diz: ‘Na minha bolha, estou achando que determinado candidato está ganhando'. E mesmo se as pesquisas mostrarem o contrário, a pessoa diz: ‘Pela sensação que tenho, acho que meu candidato está ficando cada vez mais forte, está crescendo'", comenta.

O modo como os algoritmos funcionam não é revelado pelas plataformas. Pesquisadores dizem que essas ferramentas são como "segredos industriais" dessas empresas de tecnologia.

A reportagem procurou as plataformas mais utilizadas no país para entender sobre os algoritmos em tempos eleitorais. O TikTok, o Google – também responsável pelo YouTube – e a Meta – dona do Facebook, Instagram e WhatsApp – não quiseram comentar sobre o tema. O X, antigo Twitter, não respondeu ao e-mail com os questionamentos.

<><> "Sensação de conforto"

Os algoritmos das plataformas têm o objetivo de manter as pessoas confortáveis nas redes, diz Luiz Alberto de Farias, professor de opinião pública na Universidade de São Paulo (USP). "O ser humano adora uma situação de conforto. Um desses desejos é o conforto opinativo. Sentir-se coberto por uma razão majoritária é algo que dá prazer às pessoas. Em função disso, as programações algorítmicas entregam às pessoas aquilo que elas normalmente já consomem."

O professor da USP diz que as bolhas levam a "verdades convenientes", que são entregues pelo algoritmo na tentativa de, muitas vezes, agradar o usuário. "Isso é um presente de grego, porque passamos a não enxergar necessariamente a realidade. Eu diria que passamos a viver um certo nível de psicose. Isso dá conforto, dá felicidade, dá uma sensação boa. É uma espécie de pílula da felicidade", afirma.

Nas redes, essas bolhas podem surgir em relação a diferentes temas, a partir daquilo que o usuário consome com mais frequência. No período eleitoral, elas tendem a ficar mais evidentes. "O algoritmo constrói um perfil a partir daquilo que você oferece para ele, seja uma predisposição a conteúdos progressistas ou conservadores", diz Farias.

Em meio ao grande volume de informações nas redes, os algoritmos podem selecionar e apresentar uma mesma notícia de maneiras diferentes, conforme os interesses e o comportamento do usuário.

Essa exposição a inúmeros conteúdos que reforçam os pensamentos do usuário pode levar a dificuldades para ouvir o contraditório. "O usuário vai se distanciando da leitura contrária. É como se fosse se aprofundando em uma bolha na qual passa a ter contato apenas com os argumentos daquele grupo, sem ter acesso a outros argumentos. Isso torna a pessoa cada vez mais dura e, às vezes, vai reduzindo a tolerância dela aos argumentos contrários", explica Veiga.

A cientista política afirma que essa segmentação de conteúdo mudou até mesmo a forma como as campanhas se comunicam com os eleitores. "Antes, você elaborava uma campanha para a televisão na qual você tinha que fazer um denominador comum em que todo mundo te escutava, não tinha fragmentação. Hoje, com essa questão das bolhas, você pode fazer campanhas com o que aquelas bolhas querem. É possível alcançar o eleitor de maneira muito específica", diz.

<><> Os riscos do algoritmo

Quando se fala em algoritmo, os especialistas destacam os riscos desse tipo de ferramenta. Por trás do que é oferecido pelas plataformas aos usuários, há detalhes que não são abertos pelas empresas. "De uns tempos para cá, é comum usarmos expressões como ‘o algoritmo decidiu'. Isso, na verdade, também é uma sensação de naturalização do controle que as empresas têm. Dá a impressão de que foi o algoritmo que decidiu entregar alguma coisa, mas existe uma programação por trás desse algoritmo", explica Farias.

As plataformas têm interesses financeiros, diz Veiga, o que pode fazer com que discursos com mais engajamento, que costumam gerar mais monetização, ganhem maior destaque. "É muito importante pensar nessa perspectiva de que não se trata apenas de uma plataforma neutra em que quem fala mais é quem acaba ecoando mais. Atrás disso há questões que ainda são muito pouco transparentes."

Nos últimos dias, a Meta esteve no centro de uma denúncia da campanha de reeleição do presidente Luiz Inácio Lula da Silva (PT). A equipe do petista acusou a empresa de favorecer o adversário, o senador Flávio Bolsonaro (PL). A empresa nega essas acusações.

Os especialistas avaliam que é difícil comprovar que houve alguma ação para beneficiar Flávio, principalmente porque os detalhes sobre os algoritmos não são abertos. Para especialistas, esse caso reacende o debate sobre a regulamentação dessas plataformas no país, uma discussão que se arrasta há anos, mas avançou pouco.

"Em termos de regulamentação das redes, sempre se pede mais transparência em relação a como os conteúdos são distribuídos e tudo mais. A lógica é sempre a de ampliar a transparência, que consideramos muito importante para que possamos ter um debate mais saudável de comunicação nas redes sociais", diz Veiga. "A regulação das plataformas digitais é uma coisa fundamental, porque elas têm impactado a própria continuidade da democracia", acrescenta.

Farias diz que é necessário algum tipo de lei para definir como essas plataformas podem disseminar informações, além de uma fiscalização da forma como elas controlam os conteúdos compartilhados pelos usuários. "Sabemos que, muitas vezes, essas organizações são lenientes e, às vezes, intencionalmente lentas, porque conteúdos danosos geram visualizações, lucro e retorno."

Para Farias, a regulamentação tornará os mecanismos das redes mais claros, mas não mudará a sensação de bolha, já que os usuários devem continuar acessando e recebendo os conteúdos baseados naquilo que demonstram mais interesse.

 

Fonte: BBC News Brasil/DW Brasil