Parte da internet está ficando escura. Na Holanda, sites governamentais, incluindo seu serviço de login de identificação digital, tornaram-se indisponíveis. A Finlândia tirou serviços públicos do ar, e a Wikimedia, a organização por trás da Wikipédia, também desligou alguns de seus sistemas.
Isso soa como os resultados de um ataque cibernético. Na maioria dos casos, no entanto, as pessoas que operam os sites deliberadamente os desligaram porque a alternativa – mantê-los online – era muito arriscada. O futuro chegou, e de repente grande parte de nossa infraestrutura digital parece muito frágil.
Os sites foram desligados devido a duas vulnerabilidades de segurança graves no PHP, uma linguagem de programação usada por cerca de 70% dos sites que podemos rastrear. Essas vulnerabilidades, na prática, deram aos hackers uma janela aberta para escalar e saquear tudo dentro. Isso pode significar que um invasor entra em uma loja online, rouba endereços e senhas de clientes ou altera sua página de checkout para coletar dados de cartões. O National Cyber Security Centre do Reino Unido aconselhou organizações que não puderam atualizar imediatamente a considerar tirar seus sistemas do ar.
É muito difícil fazer as pessoas se importarem com algo tão técnico. PHP é uma sigla complicada – até explicar o que ela significa (PHP: Hypertext Preprocessor) é complicado, porque é recursiva. E como ela ajuda a fazer a web funcionar também é difícil de explicar: uma boa analogia é que ela funciona como a equipe de apoio na cozinha de um restaurante: seu navegador faz o pedido e o PHP cuida da preparação do prato e entrega a refeição. De qualquer forma, o que importa é que você quase certamente tenha usado sites alimentados por ela nesta semana.
Venho relatando sobre assustadores como esses em nossa arquitetura digital há mais de uma década, e o problema subjacente mal muda. Em 2014, escrevi sobre o Heartbleed, uma vulnerabilidade no OpenSSL, o software que ajuda a manter seguras as comunicações na internet. Cabeu a dois homens chamados Steve – que trabalhavam para o OpenSSL com um orçamento apertado e assumiam uma enorme responsabilidade – evitar o desastre. Doze anos depois, parece que ainda estamos tendo a mesma conversa.
O Heartbleed não foi o fim disso. Em 2021, reportei sobre uma falha perigosa no Log4j, uma ferramenta aparentemente banal que registra o que acontece dentro de sistemas computacionais. Então, três anos depois, tivemos o XZ Utils, uma ferramenta para reduzir tamanhos de arquivos usada em computadores Linux na qual alguém deliberadamente plantou um backdoor. Em cada um desses incidentes, pequenas equipes que trabalham pelo bem público reconheceram o problema, agiram e evitaram o desastre. Cada um desses incidentes destacou como dependemos de uma pequena equipe de indivíduos com poucos recursos para manter seguras partes vitais da web.
A Fundação PHP fez esse ponto por si mesma nesta semana. Seus desenvolvedores identificaram inicialmente o problema que poderia paralisar a internet em 2024, mas foi considerado muito caro e complicado demais para corrigir. Desde então, a fundação admitiu que o atraso foi uma "falha estrutural" devido a baixos níveis de recursos.
É aqui que entra a IA. Em agosto, pesquisadores trabalhando com Calif, OpenAI e Wiz identificaram como facilmente o problema PHP poderia ser explorado usando ferramentas de IA. E os hackers também fizeram isso rapidamente. O chief executive da Cloudflare, Matthew Prince, disse que sua empresa já havia visto milhões de tentativas de explorá-lo.
Sistemas automatizados alimentados por IA podem atacar fraquezas em um instante, bombardeando seus guardiões humanos com relatórios que eles precisam triar. Pesquisadores documentaram cerca de 48.000 vulnerabilidades na internet em 2025. Já ultrapassamos 84.000 em 2026, com mais de dois meses do ano ainda para passar. Isso é uma a cada cinco minutos. Nem todas serão tão graves quanto esta última, que pontuou 9,2 em uma escala de 10 pontos usada para medir essas coisas. Mas estamos enfrentando uma enxurrada.
O que tudo isso resulta em uma realidade desconfortável: teremos mais dias como esses. A IA torna muito mais barato identificar vulnerabilidades em vastos volumes de código antigo, e repará-las é difícil. Uma revisão de 2025 feita pelo governo do Reino Unido descobriu que cerca de 28% da tecnologia do governo central era classificada como 'legado' – ou seja, desatualizada –, enquanto algumas organizações nem sequer conseguiam estimar quanto software antigo possuíam. Em abril, ministros admitiram que não podiam fornecer um relato abrangente do que havia sido corrigido ou aposentado desde então.
Precisamos corrigir isso. As empresas precisam saber qual software estão usando, incluindo os elementos obscuras de que dependem, e quem é responsável por corrigi-lo. Essa documentação é trabalho chato, o que provavelmente explica por que ela é negligenciada. Mas estamos em um mundo diferente agora, e isso precisa ser feito. Paradoxalmente, a IA pode ajudar nisso. Mas empresas e as organizações que nos protegem também precisam de financiamento adequado.
pular promoção da newsletter
Newsletter gratuita | Semanal
Inscreva-se no Matters of Opinion
Colunistas e escritores do Guardian sobre o que têm debatido, pensado, lido e muito mais
Há algumas coisas para as quais podemos ser otimistas. A OpenSSL Foundation, a empresa sem fins lucrativos que foi vítima da vulnerabilidade Heartbleed em 2014, recebeu mais de €400.000 do fundo tecnológico soberano da Alemanha no ano passado para reforçar seus recursos. A PHP Foundation contratou mais funcionários e está usando IA para ajudar a triar o que é importante e o que não é. E um número de organizações implantaram correções antes que o problema atual fosse tornado público.
Mas ainda é necessário mais. A solução é a mesma sobre a qual continuamos a falar, mas raramente realmente fazemos algo: as grandes empresas de tecnologia que ganham bilhões com software que recebem gratuitamente (devido à sua natureza de código aberto) devem contribuir adequadamente para mantê-lo. Os governos deveriam fazer o mesmo, em vez de esperar que um punhado de desenvolvedores exaustos mantenham tudo funcionando indefinidamente.
Estou ficando cada vez mais cansado de relatar e explicar por que a internet se rompe repetidamente. Cobri Heartbleed, Log4Shell e XZ Utils – e agora estou documentando as consequências do PHP. Eu não tenho particularmente vontade de continuar fazendo isso. No entanto, temo que, a menos que comecemos a valorizar adequadamente aqueles que mantêm nosso internet seguro, eu o farei.
- Chris Stokel-Walker é o autor de TikTok Boom: A História Interna do Aplicativo Favorito do Mundo
