.webp){kind=small}
Prepare-se para ver vários sites exibindo páginas de erro hoje: quase 70% dos sites precisam atualizar seu software principal para corrigir duas vulnerabilidades que permitem que um invasor assuma o controle total dos servidores afetados. Especialistas afirmam que já existem exploits funcionais para essas falhas e que esses bugs críticos já estão sendo explorados na prática.
As falhas em questão estão presentes no PHP, a linguagem de programação que alimenta sites executados em um grande número de sistemas de publicação web, incluindo Drupal, Magento, Joomla e WordPress. Hoje cedo, o PHP lançou uma atualização de segurança emergencial para corrigir duas falhas críticas que podem permitir que um invasor execute código de sua escolha em um servidor vulnerável.
A Reuters informou que sites governamentais na Europa e em outros lugares ficaram offline hoje após a divulgação de vulnerabilidades no PHP. A Cloudflare afirmou já ter detectado alguma exploração da falha e que, às 3h02 (UTC), implementou regras de firewall de aplicativos da web para proteger os sites contra ataques que buscam explorar as falhas, as quais poderiam causar uma condição de negação de serviço, execução remota de código e exposição de dados.
A OpenAI, que esteve envolvida na pesquisa e divulgação da vulnerabilidade, afirmou: "Dada a gravidade dessas falhas e o uso generalizado do PHP, consideramos este um dos problemas de segurança de maior impacto nos últimos tempos."
A Censys, empresa que monitora a tecnologia usada por servidores de internet, afirmou que uma análise recente identificou aproximadamente 2,58 milhões de servidores expostos à internet e 54,9 milhões de propriedades web que executam PHP.
Especialistas em segurança da Wiz afirmaram que todas as versões do PHP lançadas na última década são afetadas por pelo menos uma dessas vulnerabilidades [divulgação completa: a Wiz é anunciante neste blog].
"Essas descobertas estão entre as vulnerabilidades mais graves já encontradas no PHP e, possivelmente, na história do software", diz uma postagem de blog publicada hoje por uma equipe de pesquisadores da Wiz, uma das várias organizações creditadas pela descoberta das vulnerabilidades. "As falhas subjacentes estavam presentes há décadas, mas demonstrar sua explorabilidade exigia uma cadeia de etapas excepcionalmente complexa, no limite do que os pesquisadores humanos poderiam realizar na prática. Os modelos de IA de ponta reduziram substancialmente essa barreira, transformando uma falha antiga em uma vulnerabilidade explorável".
Os pesquisadores da Wiz afirmam que é provável que as vulnerabilidades do PHP sejam exploradas em massa para instalar backdoors baseados na web ou "web shells", que fornecem aos atacantes um painel online que lhes permite controlar remotamente os sites infectados. A Wiz informou que, antes da divulgação pública das falhas do PHP, a empresa trabalhou com a equipe do PHP, a Universidade da Califórnia (Calif) e a OpenAI para mensurar a dimensão do problema e coordenar a verificação e a divulgação das correções.
As vulnerabilidades de dia zero do PHP estão sendo rastreadas pelos seus números CVE, CVE-2026-109618 e CVE-2026-109619, e afetam todos os servidores web que executam PHP 5.4 ou posterior. Os bugs foram corrigidos nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Segundo a Wiz, o PHP está tão profundamente enraizado em muitas aplicações web que provavelmente veremos organizações lutando para corrigir essas vulnerabilidades por algum tempo, comparando esse par de vulnerabilidades do PHP com a fraqueza do Log4Shell que surgiu em 2021 — uma falha de segurança generalizada e extremamente grave no Log4j, uma estrutura de registro de logs em Java bastante popular.
Uma vulnerabilidade no núcleo do PHP vai muito além de um único aplicativo”, escreveram os pesquisadores da Wiz. “O PHP é executado em nuvens, provedores de hospedagem, redes de distribuição de conteúdo e milhões de servidores gerenciados independentemente. Reduzir a exposição antes que os detalhes técnicos se tornassem públicos exigiu um trabalho coordenado em todo esse ecossistema”.
O SANS Internet Storm Center está monitorando as principais plataformas de software que estão lançando atualizações para corrigir essas falhas no PHP. Por exemplo, o Ubuntu acaba de lançar pacotes PHP atualizados. Para uma análise técnica detalhada dessas vulnerabilidades, que apresenta a cronologia da descoberta desses bugs em formato de história em quadrinhos, confira esta publicação da Calif, outra empresa de tecnologia creditada pela descoberta das falhas no PHP.
Esta é uma história em constante evolução. As atualizações serão registradas aqui com a respectiva marcação de tempo.
Atualização, 14h30 (horário do leste dos EUA): Adicionados dados da Censys e um link para o relatório da Califórnia.
.jpg)
.webp)
.jpeg)
.webp)
