No dia 21 de outubro, o projeto PHP (a comunidade que mantém a linguagem em código aberto, apoiada pela PHP Foundation) corrigiu duas falhas graves, conhecidas como PHP2Shell, que deixam qualquer pessoa, sem palavra-passe, dar ordens a um servidor web. Isto importa mesmo a quem nunca ouviu falar de PHP: é a tecnologia por trás de muitos dos sites que visitamos todos os dias, incluindo os das universidades, das câmaras e de vários organismos do Estado.

As falhas afetam quase todas as versões do PHP desde 2012. As mais recentes já têm atualização; as mais antigas, que ainda correm em muitos servidores, não vão ter nenhuma. Foi isso que fomos ver em Portugal.

Como ex-jornalista, e há vários anos a trabalhar em tecnologia e Internet, acho esta história fascinante por várias razões. Mostra como a Internet é mesmo uma rede de redes, que depende de muitas empresas, organizações, programas e linguagens de programação. Mostra a inteligência artificial a encontrar problemas e também a resolvê-los. Mostra quanto software antigo e vulnerável continua ligado à Internet (e não é só no Estado). Mostra ainda que uma parte da memória coletiva online pode desaparecer de um momento para o outro, mas isso fica para outra conversa (recomendo o artigo da The Atlantic “Read This Website While You Still Can”).

Uma análise às universidades e ao Estado

A IPinfo analisa toda a Internet todas as semanas. Na verificação de 14 e 15 de outubro procurámos servidores que anunciam a versão de PHP e têm certificados com nomes de universidades, politécnicos, organismos do Estado e câmaras portuguesas, e classificámos as versões encontradas pela correção que o PHP publicou a 21 de outubro.

Em todo o mundo, cerca de 409 mil endereços estavam em versões afetadas que não vão ter correção, 37% dos que anunciam a versão. Entre todos os endereços localizados em Portugal, eram 984, ou 40%.

Nas universidades, 43 dos 111 servidores (39%) estavam em versões afetadas que não vão ter correção; nos politécnicos, 19 de 42 (45%). Das 25 instituições de ensino superior com servidores visíveis, 17 tinham pelo menos um nesta situação: 12 de 16 universidades e 5 de 9 politécnicos. Há ainda servidores em versões anteriores à 5.4, tão antigas que não são afetadas por esta falha, mas também sem correções de segurança. Não identificamos as instituições.

Legenda: servidores com certificados de universidades, politécnicos, Estado e municípios que anunciam a versão de PHP, pela correção publicada a........

© Sapo