Uma vulnerabilidade crítica do PHP pode derrubar sites hoje
Espera-se que patches de segurança para a linguagem de programação PHP, amplamente usada para construir sites e aplicativos da web, sejam lançados hoje, com o objetivo de corrigir duas vulnerabilidades críticas que podem causar estragos na Internet se não forem controladas. Em um comunicado publicado na terça-feira, os desenvolvedores de PHP disseram que as vulnerabilidades têm uma classificação de gravidade de 9,2 em 10 possíveis, com algumas agências de segurança cibernética incentivando os sites a colocar temporariamente seus sistemas offline se não conseguirem aplicar a correção imediatamente.
Espera-se que o patch de segurança seja lançado hoje às 10h ET – embora os desenvolvedores digam que podem lançá-lo mais cedo se os detalhes da vulnerabilidade se tornarem públicos ou houver evidências de explorações sendo usadas ativamente – e os usuários de PHP estão sendo incentivados a “atualizar assim que o lançamento estiver disponível”. De acordo com a empresa de segurança cibernética watchTowr, as vulnerabilidades são explorações de execução remota de código que supostamente impactam todas as versões do PHP a partir do PHP 5 e podem permitir que invasores executem seu próprio código em servidores afetados, permitindo-lhes alterar sites maliciosamente, roubar dados e muito mais.
O impacto destas vulnerabilidades pode ser vasto, com um investigador de segurança a estimar que mais de 1,3 milhões de anfitriões ligados à Internet serão provavelmente afetados. O provedor de plug-ins de segurança para WordPress, Wordfence, também alertou que todos os sites WordPress serão vulneráveis porque todos eles são executados em servidores que usam PHP, o que não é um número pequeno, dado que o WordPress relatou no ano passado que ele alimenta mais de 40% da Internet. O Wordfence também alertou que a correção não pode ser instalada usando atualizações automáticas, então os proprietários do site precisam descobrir quem é o responsável pela atualização do PHP para aplicar o patch manualmente.
A Equipe de Resposta a Emergências Informáticas da União Europeia e o Centro Nacional de Segurança Cibernética do Reino Unido emitiram avisos que incentivam todas as empresas que não conseguem corrigir imediatamente suas plataformas a isolar seus aplicativos voltados para a Internet das redes públicas ou colocá-los totalmente off-line até que as vulnerabilidades possam ser totalmente mitigadas. O desenvolvedor de sistema operacional móvel GrapheneOS diz que colocou temporariamente seu fórum de discussão de usuários off-line porque explorações de prova de conceito já estão sendo desenvolvidas e eles “não querem correr o risco”. De acordo com a desenvolvedora de PHP Gina Peter Banyard, a correção é a única atenuação e, caso contrário, desligar os servidores “pode ser a coisa mais sensata a fazer”.
Várias organizações de segurança cibernética também solicitaram que os administradores de PHP se preparassem, com pesquisadores de ameaças da Sansec dizendo que esperam ver “ataques em massa dentro de 15 minutos após o lançamento”. Isso não significa que os invasores estejam esperando. O diretor de tecnologia da Cloudflare, Dane Knecht, diz que “estamos vendo o surgimento de ataques iniciais” contra os sites PHP da plataforma, e que a Cloudflare está atualizando temporariamente suas regras de firewall como um paliativo até que a correção esteja disponível.
