A vulnerabilidade PHP2Shell e o alerta para o código legado

No final de outubro, uma série de graves problemas de cibersegurança veio a público, mas nenhum superou a chamada vulnerabilidade PHP2Shell, que colocou inúmeros sites em risco, incluindo os da NASA, da Wikipédia, da Casa Branca e todos os demais que operam sobre WordPress ou Drupal, permitindo a leitura de dados sensíveis e a execução de código malicioso no servidor hospedeiro.

Até onde se sabe, o desastre foi evitado, já que a falha foi descoberta por pesquisadores que a reportaram à Fundação PHP, resultando em um patch antes que atores maliciosos tivessem acesso ao exploit. Contudo, o PHP2Shell pode ser o canário na mina de carvão, servindo como sinal de alerta para o que esperar na era da inteligência artificial, segundo Matt Suiche, líder de pesquisa de segurança em IA na startup Tolmo, que afirma ser hora de quitar a dívida técnica acumulada por décadas de software legado escrito por humanos.

O PHP, linguagem criada em 1994 e amplamente usada em sites legados, abrigava o bug subjacente ao PHP2Shell desde 2024. A falha causava um estouro de memória, onde a alocação é insuficiente para os dados, geralmente resultando apenas em uma falha do programa, algo desagradável, mas não inerentemente perigoso, o que fez com que o relato permanecesse sem solução, já que a maioria não leva relatos de crash a sério, conforme explica Suman Jana, professor associado de ciência da computação na Universidade Columbia.

No início deste ano, a empresa de cibersegurança Calif, patrocinada pela OpenAI, ofereceu uma auditoria independente no PHP e, em duas semanas, um pesquisador auxiliado por ferramentas de IA encontrou uma forma de transformar o erro de memória em execução de código arbitrário no servidor, permitindo a instalação de malware ou leitura de dados críticos. Jana detalha que explorar a falha exige calcular precisamente como saltar para um ponto específico na memória e quais bits sobrescrever em qual ordem para ganhar controle do sistema, um raciocínio específico e penoso no qual a IA tem se saído muito bem.

Os pesquisadores da Calif, assim como especialistas da OpenAI e da Wiz, possuíam profundo conhecimento em segurança e na linguagem PHP, e Jana deixa claro que a IA não faz tudo sozinha, mas está melhorando a ponto de permitir que os 0,1% de especialistas de topo produzam muito mais, e que profissionais logo abaixo desse nível atinjam esse patamar sem dominar todos os detalhes intrincados. Após a divulgação, uma equipe de quatro engenheiros gastou dois meses desenvolvendo o patch, evidenciando uma assimetria fundamental: corrigir bugs exige garantir que todos os vetores de ataque estejam fechados sem quebrar funcionalidades existentes, onerando muito os defensores, especialmente em projetos de código aberto sem receita clara.

Uma forma de se antecipar a esses problemas é capacitar os defensores com mais recursos e acesso a modelos de IA de fronteira para cibersegurança, sugerindo que laboratórios de ponta doem orçamentos de tokens para essa análise. Jana também se mostra otimista com ferramentas de verificação formal para automatizar a correção, citando um lançamento da Anthropic em 22 de outubro onde um LLM gera o patch e outro gera a prova de correção, restando apenas um verificador formal, já que LLMs alucinam e não podem checar a si mesmos.

Matthew Green, professor associado no Instituto de Segurança da Informação da Universidade Johns Hopkins, é menos otimista, acreditando que ninguém resolverá esse problema até que algo realmente ruim aconteça, talvez no início de 2027, quando o financiamento aparecerá de forma repentina. Enquanto isso, a recomendação é simples: atualize seu software imediatamente quando houver atualizações de segurança disponíveis, sem adiar para a semana seguinte.

Uma certeza permanece: o PHP2Shell é apenas o começo, e não será o último, a questão é quem o encontrar primeiro, esperando que sejam os hackers de chapéu branco, como ocorreu desta vez.

Com informações de: Hacker News (Y Combinator)