Falhas críticas no PHP: o que pequenas empresas devem fazer
Duas falhas graves no PHP levaram a Anatel e tribunais a tirar sistemas do ar. Para quem tem site ou loja virtual, o caminho é descobrir se usa PHP, cobrar a atualização e ter um plano caso o provedor demore.
Quando órgãos como a Anatel e tribunais federais suspendem sistemas por precaução, o recado vale também para empresas pequenas. Segundo o Olhar Digital, duas vulnerabilidades graves no PHP podem permitir que invasores assumam o controle de servidores sem precisar de login ou senha. Se o seu site, sua loja virtual ou algum sistema interno roda em PHP, o assunto é seu.
O que aconteceu
De acordo com a reportagem, a Anatel suspendeu o acesso externo ao SEI e a outros serviços, e os Tribunais Regionais Federais da 1ª, 4ª e 6ª Regiões tomaram medida parecida. O governo federal orientou os órgãos públicos a atualizar o software, e o Ministério da Gestão pediu que sistemas em PHP saíssem do ar temporariamente. A fonte informa que já existe correção disponível.
O PHP é usado em plataformas como WordPress, Moodle e Magento. O especialista Thiago Ayub, citado pelo Olhar Digital, lembra que rankings públicos apontam a linguagem em cerca de 70% dos sites. A reportagem também diz que as falhas foram encontradas com ajuda de IA e que a empresa de segurança Wiz as classificou como estão entre as mais graves da história do software.
O primeiro passo é saber se você está no escopo. Pergunte a quem desenvolve ou hospeda seu site: ele usa PHP? Qual versão está instalada e ela já recebeu a correção? Se você usa WordPress, loja em Magento ou outro sistema feito em PHP, a pergunta se aplica. A fonte não detalha quais versões estão afetadas nem qual é a versão corrigida, então peça essa informação ao seu provedor ou consulte o aviso oficial da equipe do PHP.
O segundo passo é definir quem responde pela atualização. Em muitas pequenas empresas, a hospedagem gerencia o servidor, e o desenvolvedor ou a agência cuida do site. Registre por escrito a solicitação, com prazo, para saber quem ficou responsável. Se você mesmo administra o servidor, aplique o pacote de correção o quanto antes.
O terceiro passo é preparar um plano para a demora. A orientação das autoridades citadas na reportagem, inclusive da NSA nos Estados Unidos, é corrigir imediatamente ou desligar o sistema vulnerável quando isso não for possível. Para um negócio, isso significa decidir antes o que pode ficar fora do ar por algumas horas. Uma página institucional costuma tolerar isso melhor que uma loja virtual, mas é uma escolha sua. Verifique também se existe cópia de segurança recente e fora do servidor.
Por fim, se o sistema tratar dados pessoais de clientes, vale registrar as providências tomadas. A fonte não fala de LGPD, mas manter um histórico do que foi feito e quando ajuda numa eventual conversa com clientes ou parceiros.
Fechamento
O episódio mostra que uma falha numa tecnologia comum pode afetar de repartições a lojas pequenas. Você não precisa entender o código: basta perguntar, cobrar com prazo e saber o que desligar se a correção atrasar.
Fontes
Continue lendo
Anatel manda bloquear SMS sem cadastro: o que sua empresa faz
A Anatel determinou que operadoras bloqueiem SMS corporativos de remetentes sem cadastro. Empresas que enviam avisos, cobranças ou códigos por SMS precisam checar se estão no novo diretório antes do fim do prazo de 90 dias.
CibersegurançaVazamento no FGC: o que empresas devem revisar na LGPD
O FGC admitiu acesso indevido a nomes, CPFs e e-mails de investidores. O caso serve de roteiro para pequenas empresas revisarem acessos, fornecedores e o preparo para comunicar um incidente à ANPD.