Resumo:
A linguagem de programação PHP, amplamente utilizada no desenvolvimento de sites e aplicações web, está enfrentando uma atualização de segurança emergencial. A equipe de desenvolvimento do PHP planeja lançar correções para duas vulnerabilidades graves de segurança em 21 de outubro de 2026. Como a vulnerabilidade pode permitir que invasores executem código remotamente sem autenticação, a agência europeia de segurança cibernética recomendou que as organizações relevantes concluam a correção o mais rápido possível; se não puder ser atualizado temporariamente, alguns sites podem precisar isolar o acesso à rede ou até mesmo desligar temporariamente os serviços para reduzir o risco de serem atacados.
De acordo com o boletim de segurança divulgado pela equipe de desenvolvimento do PHP, a pontuação de gravidade das duas vulnerabilidades é de 9,2 pontos, usando o sistema de pontuação de vulnerabilidade CVSS v4.0 com pontuação total de 10 pontos. A equipe de desenvolvimento pede a todos os usuários de PHP que se preparem com antecedência e atualizem assim que uma correção for lançada. O anúncio também afirmou que se os detalhes da vulnerabilidade forem divulgados com antecedência, ou se a vulnerabilidade for realmente explorada, o patch poderá ser lançado com antecedência.
PHP é a linguagem de programação do lado do servidor mais utilizada na infraestrutura da Internet. Muitos sites dependem dele para gerar páginas da web, lidar com solicitações de usuários, conectar-se a bancos de dados e executar lógica de negócios em segundo plano. Os principais sistemas de gerenciamento de conteúdo e plataformas de comércio eletrônico, incluindo WordPress, Drupal, Joomla e Magento, usam PHP extensivamente. Portanto, o impacto potencial desta vulnerabilidade não se limita a um determinado software ou a um determinado tipo de site, mas pode afetar um grande número de serviços de Internet.
Entre estes, o alcance da influência do WordPress é particularmente notável. Dados divulgados pelo WordPress no ano passado mostraram que a plataforma suporta mais de 40% dos sites do mundo. A empresa de segurança cibernética Wordfence aponta que os sites WordPress geralmente são executados em servidores com PHP instalado, portanto, enquanto houver vulnerabilidades não corrigidas no ambiente PHP subjacente, os sites relevantes podem estar em risco.
Pesquisadores de segurança estimam que o número de hosts da Internet potencialmente afetados excede 1,3 milhão. No entanto, este número é uma estimativa preliminar dos investigadores e não significa que todos os hosts relevantes tenham sido comprometidos, nem se pode concluir que todos os websites serão necessariamente afetados na mesma medida.
As vulnerabilidades de execução remota de código são perigosas porque um invasor pode enviar solicitações especialmente criadas a um servidor vulnerável pela rede para executar código malicioso sem exigir uma conta legítima ou credenciais de login. Depois que o ataque for bem-sucedido, as consequências podem incluir adulteração de páginas do site, roubo de dados no servidor, implantação de programas maliciosos e até mesmo controle adicional de todo o servidor. Para sites que armazenam perfis de usuários, informações de clientes ou registros de transações, uma violação também pode levar a violações de dados mais amplas e à interrupção dos negócios.
A organização de pesquisa de segurança watchTowr afirmou que, com base nas informações relevantes vazadas atualmente, essas duas vulnerabilidades podem afetar múltiplas versões a partir do PHP 5. No entanto, antes que o PHP divulgue oficialmente os detalhes da vulnerabilidade e a lista de versões afetadas, o escopo específico do impacto ainda precisa estar sujeito a anúncios oficiais.
Para tornar as coisas ainda mais complicadas, os webmasters não podem confiar apenas no recurso de atualização automática do WordPress para resolver o problema. O Wordfence lembra especificamente que desta vez a vulnerabilidade existe no próprio PHP, não no programa principal do WordPress ou em um plug-in. Portanto, mesmo que um site tenha atualizado automaticamente o núcleo e os plug-ins do WordPress, o ambiente PHP em que o servidor está realmente sendo executado ainda pode precisar ser atualizado separadamente.
Para usuários que usam hospedagem virtual, o PHP geralmente é mantido pelo provedor de hospedagem; se o site estiver sendo executado em um servidor virtual privado autogerenciado, servidor em nuvem ou servidor independente, a responsabilidade pela manutenção poderá recair sobre o proprietário do site ou administrador do sistema. Os operadores de sites precisam confirmar a versão do PHP atualmente em uso, quem gerencia o servidor e se o provedor de serviços implantará uma versão de reparo em tempo hábil.
A Equipa Europeia de Resposta a Emergências de Cibersegurança (CERT-EU) e o Centro Nacional de Cibersegurança do Reino Unido emitiram avisos, recomendando que as organizações que não consigam concluir a reparação imediatamente isolem temporariamente as aplicações voltadas para a Internet da rede pública ou coloquem diretamente os websites relevantes offline até que a vulnerabilidade seja efetivamente mitigada. A UE apontou especificamente que a vulnerabilidade pode permitir que os atacantes executem códigos maliciosos sem fazer login no sistema, pelo que as organizações devem identificar antecipadamente os ativos afetados e preparar-se para atualizações de emergência.
Algumas instituições já tomaram medidas preventivas. A equipe de desenvolvimento do sistema operacional móvel GrapheneOS disse que fechou temporariamente seu fórum de discussão de usuários para evitar riscos desnecessários, já que um código de ataque de prova de conceito para a vulnerabilidade está em desenvolvimento. A desenvolvedora de PHP Gina Peter Bagyard também disse que instalar patches é a chave para resolver o problema; se não puder ser reparado a tempo, desligar o servidor pode ser uma escolha mais segura.
Os pesquisadores de segurança cibernética também alertaram que após o lançamento do patch, os invasores poderão analisar rapidamente as diferenças de código antes e depois do patch, descobrir como explorar a vulnerabilidade e lançar ataques em larga escala em servidores que não foram atualizados. A organização de pesquisa de segurança Sansec prevê que ataques em grande escala podem ocorrer apenas 15 minutos após o patch ser tornado público. Esta previsão não significa que um ataque ocorrerá definitivamente dentro deste prazo, mas reflecte as preocupações da indústria de segurança sobre a rápida expansão dos riscos após a vulnerabilidade ser tornada pública.
Enquanto isso, Dane Knecht, diretor de tecnologia da Cloudflare, disse que a plataforma observou sinais iniciais de ataques direcionados a sites que executam PHP. A Cloudflare está ajustando temporariamente as regras de firewall para fornecer proteção adicional até que um patch oficial seja lançado. No entanto, enfatizou que estas medidas só podem ser utilizadas como uma solução transitória e não podem substituir reparações formais.
O Centro Australiano de Segurança Cibernética afirmou que nenhuma atividade de exploração confirmada relacionada a essas duas vulnerabilidades havia sido descoberta naquele momento e recomendou que as organizações fizessem um inventário dos sistemas que executam PHP internamente o mais rápido possível, preparassem patches com antecedência e monitorassem continuamente os aplicativos em busca de anormalidades. Diferentes agências de segurança têm declarações diferentes sobre situações de ataque, o que significa que a inteligência sobre ameaças ainda está a mudar rapidamente, e os operadores de websites não devem presumir que os seus sistemas são seguros só porque os ataques em grande escala ainda não foram confirmados.
Para proprietários comuns de sites, a lição mais importante deste incidente é que a segurança do site não depende apenas de o sistema de gerenciamento de conteúdo e os plug-ins serem mantidos atualizados, mas também de o ambiente operacional subjacente do servidor ser mantido em tempo hábil. Mesmo que um site raramente atualize o conteúdo, desde que os serviços ainda sejam fornecidos pela Internet, vulnerabilidades graves no software subjacente podem tornar-se pontos de entrada para ataques.
O PHP planeja oficialmente lançar uma versão reparada às 14h UTC do dia 21 de outubro de 2026, correspondendo às 22h, horário de Pequim. A equipe de desenvolvimento afirmou que anunciará ainda mais os detalhes da vulnerabilidade, as versões afetadas e as informações da versão reparada naquele momento. Os administradores do site devem confirmar o mais rápido possível após o lançamento da atualização oficial se o provedor de serviços ou seu próprio servidor concluiu o reparo e verificar os logs do sistema e atividades anormais, se necessário.
Como o patch do PHP está prestes a ser lançado, um grande número de sites em todo o mundo entrará na fase de manutenção emergencial. O risco deste incidente não vem apenas da vulnerabilidade em si, mas também do grande número de servidores de versões antigas na Internet e da realidade de que os proprietários de sites podem não conseguir concluir as atualizações a tempo. Para sistemas críticos que não podem ser reparados imediatamente e estão diretamente expostos à Internet, pode ser mais seguro restringir temporariamente o acesso ou colocá-los offline do que continuar a correr o risco.
Saiba mais:
https://www.php.net/index.php
Comentários