Seu sistema ainda roda PHP 7? A falha de outubro não tem conserto para ele

Imagine abrir o computador na segunda de manhã e descobrir que a loja virtual está fora do ar, ou que seus clientes estão recebendo e-mails estranhos em nome da sua empresa. Quase sempre isso começa com algo que ninguém estava olhando: a versão de um software esquecido no servidor.

Neste momento, para muitas empresas, esse software se chama PHP 7.

Primeiro: o que é PHP e por que isso é com você

PHP é a linguagem de programação que faz funcionar uma enorme parte da internet: lojas virtuais, sites em WordPress, áreas do cliente, sistemas internos feitos sob medida. Você provavelmente nunca escolheu usar PHP. Alguém escolheu por você, anos atrás, e funcionou bem até agora.

O que aconteceu, em poucas palavras

No dia 21 de outubro, os responsáveis pelo PHP avisaram sobre duas falhas graves, com nota 9,2 numa escala que vai até 10. Na prática, elas deixam alguém na internet tomar o controle do servidor onde o seu site roda, sem precisar de senha.

Cinco dias depois, a agência de cibersegurança do governo americano (CISA) incluiu as falhas na lista das que já estão sendo usadas em ataques reais.

A correção saiu no mesmo dia 21. Mas só para o PHP 8.2 e as versões mais novas.

O que isso pode custar para a sua empresa

• Site ou sistema fora do ar no meio do expediente, ou bem no dia da campanha de vendas.
• Dados de clientes expostos, como cadastros, pedidos e e-mails. Além do estrago na confiança, vazamento de dados pessoais pode virar processo e multa pela LGPD.
• Seu site trabalhando para os criminosos: mandando spam ou espalhando golpes. Aí o Google passa a avisar que o seu site é perigoso.
• A conta da limpeza: recuperar um servidor invadido custa muito mais caro do que prevenir.

Não estamos dizendo isso para assustar. Falhas assim são exploradas em massa, por robôs que varrem a internet atrás de qualquer servidor vulnerável. Ninguém precisa escolher a sua empresa de propósito: basta ela estar no caminho.

Então é só atualizar?

Seria ótimo, mas quase nunca é simples. Quem ainda está no PHP 7 costuma estar lá por um bom motivo: o sistema funciona, dá dinheiro e ninguém quer mexer. A passagem para o PHP 8 muda regras da linguagem, e partes que funcionavam podem parar. Plugins antigos, versões velhas de frameworks e código escrito há anos são os primeiros a quebrar.

Atualizar no escuro é trocar um risco por outro. O caminho seguro é saber antes o que vai quebrar, quanto custa e em que ordem fazer.

Não sabe qual versão você usa? Normal. É a primeira coisa que a gente descobre para você.

Responda estas cinco perguntas

• Em qual versão do PHP rodam os sites e sistemas da empresa?
• Quem cuida das atualizações do servidor, e essa pessoa ainda trabalha com vocês?
• Quando foi a última grande atualização do sistema?
• Se o site saísse do ar hoje, quanto a empresa perderia por dia?
• Existe backup recente, e alguém já testou se ele funciona?

Se alguma resposta foi "não sei", você não está sozinho. Muita empresa está no mesmo lugar, e é exatamente aí que a gente entra.

Como a 360 Brave resolve isso com você

Somos um estúdio de engenharia de software. Na análise de impacto do PHP, olhamos tudo o que a sua empresa tem rodando, explicamos o risco em linguagem de negócio e entregamos um plano com prazo e preço fechados.

1. 01

   Uma conversa de 20 minutos

   Você conta como funciona a sua operação, do seu jeito. Sem compromisso e sem tecniquês.

2. 02

   Diagnóstico

   Com acesso só de leitura, levantamos todos os sites e sistemas em PHP, as versões, o que está exposto na internet e o que quebraria numa atualização.

3. 03

   Um plano que você entende

   Uma lista do que fazer primeiro, pelo tamanho do risco para o negócio, com prazo e preço. Inclui medidas imediatas para diminuir a exposição enquanto a atualização não fica pronta.

4. 04

   Atualização sem susto

   Atualizamos em etapas, com testes e um plano de volta, para o sistema não parar. Se preferir, entregamos o plano para o seu time executar.

Depois, se fizer sentido, cuidamos do seu servidor de forma contínua. Assim a próxima falha vira uma atualização de rotina, e não uma emergência na segunda de manhã.