Na quarta-feira (21), o governo da Finlândia, a prefeitura de Edimburgo e até páginas de programas da BBC tomaram a mesma decisão: saíram do ar de propósito. Nenhum ataque havia derrubado esses sites. Eles desligaram por causa de um aviso. Pesquisadores usando inteligência artificial encontraram duas falhas críticas no PHP, a linguagem de programação em que boa parte da internet é escrita. As autoridades de segurança concluíram que, para quem não conseguisse se corrigir a tempo, o mais prudente era apagar a luz.
O PHP (abre em nova aba) não é um programa que o leitor instala no computador. É o motor que roda nos bastidores de sites que ele visita todo dia. Segundo a Cloudflare, citada pela ITV, quase 70% dos sites usam a linguagem, que sustenta plataformas como WordPress (abre em nova aba) e Magento. De acordo com a ITV, a falha permitiria a um atacante controlar à distância servidores que rodam PHP. A divisão cibernética da NSA, a agência de segurança dos Estados Unidos, resumiu o risco sem adjetivos: as vulnerabilidades costumam abrir "um caminho direto para o sistema de arquivos ou o banco de dados do servidor". Em outras palavras, a porta dos fundos dava direto na sala do cofre.
A reação foi de quartel. A NSA recomendou desconectar os sistemas que não pudessem ser corrigidos imediatamente. O NCSC (abre em nova aba), centro britânico de cibersegurança, mandou atualizar para a versão corrigida e, se isso não fosse possível, considerar tirar o site do ar. Os governos da França e da Finlândia ordenaram o desligamento de alguns serviços. A agência de cibersegurança da Holanda anunciou que desligaria o próprio site. No Japão, o primeiro-ministro pediu que as pessoas verificassem se seus sites públicos rodavam em PHP. Segundo o Telegraph, universidades e empresas também fecharam suas páginas.
No Reino Unido, o efeito chegou ao balcão do cidadão. As prefeituras de Oxford e de Edimburgo saíram do ar. O Office for Budget Responsibility, órgão britânico ligado ao orçamento público, desligou seu site "em vista dos problemas críticos de segurança que afetam o PHP". Na Escócia, em certo momento da noite, pelo menos 7 das 32 prefeituras e 6 dos 14 conselhos regionais de saúde estavam fora do ar por precaução. Segundo a ITV, nenhum grande serviço crítico voltado ao público teria sido afetado.
Quem achou, e como
As falhas foram encontradas por pesquisadores da Calif e da Wiz (abre em nova aba), dentro de um programa da OpenAI (abre em nova aba) batizado de Patch the Planet, algo como "remende o planeta". A proposta era dar a especialistas acesso às ferramentas de IA mais avançadas da empresa para achar e consertar defeitos no PHP. O Wall Street Journal, citado pela ITV, informou que a descoberta foi feita em agosto por Ryan Austin, pesquisador da Calif, com um modelo avançado da OpenAI. A própria OpenAI afirma que um pesquisador da casa chegou ao mesmo problema mais ou menos na mesma época.
O defeito estava ali havia mais de uma década. Muitos programadores passaram por aquele código sem enxergá-lo. A Wiz classificou as falhas como as mais graves já descobertas por essa tecnologia. A OpenAI falou em "um dos problemas de segurança de maior impacto na memória recente". Vindo de quem organizou a busca, o elogio traz propaganda embutida. Ainda assim, os sites apagados pelo mundo confirmam a gravidade sem precisar de comunicado.
O calendário não aguentou
O plano era outro. Segundo a ITV, os desenvolvedores do PHP pretendiam publicar a correção na quinta-feira, mas anteciparam a entrega depois que detalhes do trabalho vazaram na internet. De acordo com o Telegraph, a fundação responsável pelo software anunciou as duas vulnerabilidades na terça-feira, e a correção saiu na tarde de quarta. Entre o vazamento e o remendo, quem não podia atualizar ficou com a defesa mais antiga de todas: desligar a tomada.
A conta que importa
Os sites fora do ar não são o dado mais preocupante. Duas equipes, ambas com IA, acharam o mesmo buraco quase ao mesmo tempo. Se os pesquisadores de boa-fé chegaram lá juntos, não há razão para supor que os criminosos fiquem muito atrás. Especialistas ouvidos pela BBC alertam que a IA consegue achar e explorar esse tipo de falha mais rápido do que a revisão humana. O caso desta semana mostra a mesma ferramenta servindo aos dois lados. O código que passou mais de dez anos despercebido pelos olhos humanos foi exposto por máquina. O conserto, porém, continua dependendo de alguém, em cada prefeitura e em cada pequena empresa, apertar o botão de atualizar.
Para o visitante comum, um site oficial fora do ar nesta semana pode ser apenas precaução, e não sinal de invasão. As autoridades britânicas dizem que os serviços voltarão quando as atualizações forem aplicadas e verificadas. Sanne Dijkstra-Downie, vereadora em Edimburgo, cobrou da prefeitura que informe aos moradores por quanto tempo os serviços ficarão fora e que garanta atendimento a quem precisa de ajuda urgente. A máquina encontrou o defeito, mas desligar os sites foi decisão humana, e religá-los com segurança também será.