Atualização de vulnerabilidade do PHP: problemas de PHP explicados hoje

A equipe por trás do PHP lançou atualizações de segurança de emergência na quarta-feira para corrigir duas vulnerabilidades críticas, um dia depois que detalhes sobre as falhas vazaram online.

O Centro Nacional de Segurança Cibernética (NCSC) do Reino Unido está incentivando as organizações a instalarem a correção imediatamente.

O que é PHP?

PHP é uma linguagem de programação executada em servidores web. Quando você carrega uma página da web, o PHP geralmente é executado nos bastidores, recuperando dados de bancos de dados e construindo a página antes que ela chegue ao seu navegador. BleepingComputer observa que ele alimenta muitos sites, incluindo sistemas de gerenciamento de conteúdo, lojas online e serviços web personalizados. De acordo com o NCSC, o PHP também está integrado em uma série de outros produtos.

O NCSC diz que as duas falhas, rastreadas como CVE-2026-109618 e CVE-2026-109619, podem permitir que um invasor execute seus próprios comandos em um servidor baseado em PHP sem fazer login.

De acordo com o NCSC, um invasor pode sobrecarregar a memória do PHP para corrompê-lo e, em seguida, sob certas condições, usar essa corrupção para assumir o controle do servidor. Uma das falhas envolve como o PHP processa envios de formulários e uploads de arquivos.

O PHP avaliou cada falha com nota 9,2 de 10 no CVSS, a escala de gravidade padrão da indústria. A empresa de segurança watchTowr os descreveu como um 10 perfeito, informou o BleepingComputer, assim como uma postagem anônima do Hacker News que já foi excluída. Os pesquisadores começaram a chamar os bugs de “PHP2SHELL”.

As correções foram originalmente planejadas para um lançamento coordenado no final desta semana, para que as empresas tivessem tempo para se preparar. Então, informações sobre as falhas vazaram precocemente. Em declarações ao BleepingComputer, o CEO da watchTowr, Benjamin Harris, disse que as vulnerabilidades são “realmente reais” e afetam as versões 5 a 8 do PHP.

PHP adiou seu lançamento para as 10h ET de quarta-feira. Até terça-feira, a watchTowr disse não ter visto ninguém explorando as falhas. Na quarta-feira, o CTO da Cloudflare, Dane Knecht, disse no X que a empresa estava vendo ataques iniciais, de acordo com o BleepingComputer.

Este Tweet não está disponível no momento. Pode estar carregando ou foi removido.

O NCSC diz que as organizações que executam o PHP 5 ou posterior são afetadas e devem atualizar para a versão corrigida mais recente. Qualquer pessoa que ainda use uma versão mais antiga e sem suporte deve migrar para uma versão compatível.

Wikipedia impactada pela vulnerabilidade do PHP

A Wikipedia caiu por um tempo na quarta-feira, e a Wikimedia Foundation, a organização sem fins lucrativos que administra o site, confirmou ao Mashable que a interrupção estava ligada às vulnerabilidades do PHP.

Em comunicado ao Mashable por e-mail, a fundação disse que está trabalhando para resolver as falhas do PHP, que descreveu como a linguagem de programação por trás da maioria dos wikis, incluindo seus próprios projetos. “Este problema afeta todas as versões conhecidas do PHP e não é específico da Wikimedia Foundation”, afirmou o comunicado.

A fundação acrescentou que todos os seus sistemas baseados em PHP serão afetados, juntamente com os sistemas administrados por voluntários que usam PHP. Também colocou vários outros sistemas off-line como precaução até que possam ser corrigidos com segurança. A Wikipedia estava de volta no momento em que este livro foi escrito.

Quem mais é afetado e o que você deve fazer?

Se você apenas navega na web, não há nada para instalar. A solução depende das pessoas que administram os sites.

Se você administra um site, blog ou loja online, verifique se ele usa PHP e certifique-se de que esteja atualizado. Se uma empresa de hospedagem gerencia seu site, entre em contato com ela para confirmar que aplicou o patch.

Para as organizações, o NCSC recomenda:

• Encontrar todos os sistemas que rodam PHP, começando pelos acessíveis pela internet.

• Procurando atualizações de fornecedores cujos produtos incluem PHP.

• Colocar os sistemas offline se eles não puderem ser consertados rapidamente.

• Verificando qualquer sistema que não pôde ser atualizado imediatamente em busca de sinais de invasão.

A Cloudflare adicionou regras de firewall de emergência projetadas para bloquear solicitações suspeitas vinculadas às falhas. As regras estão disponíveis para todos os seus clientes, inclusive aqueles de planos gratuitos.

Quer saber mais sobre como tirar o melhor proveito da sua tecnologia? Inscreva-se no Mashable Boletins informativos sobre notícias principais e ofertas ou receber alertas push do Mashable hoje.