Falhas críticas no PHP colocam sites em risco; veja como empresas podem se proteger

Duas vulnerabilidades críticas na linguagem de programação PHP levaram governos e empresas a retirar sites do ar para evitar possíveis ataques.

As falhas receberam nota 9,2 de dez em escala internacional de gravidade e podem permitir que invasores executem comandos remotamente em servidores vulneráveis, sem precisar de senha ou conta.

Os desenvolvedores do PHP lançaram atualizações para corrigir os problemas nesta quarta-feira (21).

A recomendação de autoridades de segurança é instalar as correções imediatamente ou, caso isso não seja possível, isolar os sistemas vulneráveis da internet até que possam ser protegidos.

Uma das vulnerabilidades chama a atenção por ter sido identificada inicialmente em 2024.

Segundo a Fundação PHP, o atraso na correção refletiu falha estrutural no processo.

A divulgação das atualizações aumentou a preocupação de especialistas com a possibilidade de invasores analisarem as correções para descobrir como explorar sistemas que ainda não foram atualizados.

Por que uma falha no PHP ameaça tantos sites? O PHP é uma linguagem de programação executada nos servidores para processar comandos e gerar o conteúdo exibido nos sites.

Gratuito e de código aberto, o sistema está presente em quase 70% dos sites cuja linguagem de programação pode ser identificada; A tecnologia também está por trás do WordPress, plataforma utilizada em cerca de 40% dos sites da internet, incluindo páginas de pequenas empresas, portais governamentais, lojas virtuais e veículos de comunicação; Essa presença disseminada amplia o alcance potencial das vulnerabilidades.

Uma falha explorável na linguagem pode colocar diferentes serviços em risco ao mesmo tempo, inclusive sites cujos responsáveis nem sequer sabem que precisam administrar uma instalação de PHP; De acordo com o CERT-EU, equipe de resposta a incidentes de segurança cibernética da União Europeia (UE), as vulnerabilidades permitem a execução remota de código sem autenticação.

Na prática, um invasor pode enviar comandos a um servidor vulnerável pela internet sem precisar entrar em uma conta legítima; A exploração pode resultar em roubo de dados, alteração do conteúdo de páginas ou comprometimento completo do sistema.

O diretor de tecnologia da Cloudflare relatou o aparecimento dos primeiros ataques.

Correções já foram liberadas Os desenvolvedores do PHP disponibilizaram quatro atualizações para corrigir as duas vulnerabilidades críticas.

A Fundação PHP recomendou que os usuários atualizem seus sistemas imediatamente.