Vulnerabilidades críticas permitem invasão remota sem necessidade de senha e levaram governos europeus a tirarem serviços do ar; atualização de emergência está disponível
Em resumo:
Duas falhas críticas de segurança na linguagem de programação PHP colocaram milhões de sites em alerta global nesta quarta-feira (21).
Com nota 9,2 em uma escala de 10 em gravidade, as vulnerabilidades permitem que invasores executem comandos de forma remota, roubem dados e, até mesmo, alterem páginas.
A ameaça fez com que sites governamentais da França, Finlândia e Países Baixos saíssem do ar preventivamente. A equipe do PHP já liberou atualizações emergenciais.
O PHP é uma linguagem de programação que opera nos servidores para processar informações antes de exibir o conteúdo no navegador do usuário.
Ele é responsável por tarefas como atualizar carrinhos de compras em lojas virtuais ou consultar bancos de dados em tempo real.
A dimensão do alerta global ocorre porque a tecnologia está presente em 69,3% de todos os sites com linguagem de servidor conhecida. Além disso, o PHP é a base de plataformas populares de criação e gestão de conteúdo, como Drupal, Joomla e WordPress, que, sozinho, alimenta mais de 43% das páginas da internet.
Pesquisadores estimam que mais de 1,3 milhão de servidores conectados à rede estejam expostos, abrangendo desde pequenos blogs até grandes portais e sistemas governamentais.
As falhas afetam versões lançadas a partir do PHP 5 e permitem a chamada execução remota de código (RCE, na sigla em inglês), possibilitando que criminosos enviem comandos maliciosos ao servidor sem qualquer autenticação ou login.
O comunicado técnico oficial aponta duas brechas no funcionamento interno da linguagem:
De acordo com os desenvolvedores, estão em risco todas as instalações que processam requisições web, incluindo ambientes com PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
O perigo é considerado ainda maior no uso do módulo mod_php, no qual uma requisição não autenticada pode disparar o ataque antes mesmo da execução de qualquer código da aplicação.
Com o controle remoto do servidor, invasores conseguem instalar programas maliciosos (malwares), sequestrar bancos de dados, modificar páginas e derrubar serviços inteiros.
A Cloudflare confirmou que as investidas já começaram. Segundo o diretor de tecnologia da companhia, Dane Knecht, regras temporárias de firewall foram aplicadas para conter os primeiros ataques detectados.
Por precaução, diferentes instituições optaram por isolar seus sistemas. Nos Países Baixos, páginas do governo, sistemas de hospitais e serviços do Porto de Roterdã saíram do ar temporariamente.
Serviços públicos na Finlândia e na França, além do fórum de discussões do sistema operacional GrapheneOS, adotaram a mesma estratégia para evitar invasões enquanto aplicam as correções.
A recomendação dos desenvolvedores é atualizar os sistemas para as versões corrigidas disponibilizadas nesta quarta-feira (21): PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 ou PHP 8.2.35.
Pela gravidade do cenário, a equipe de segurança também liberou correções mínimas no código-fonte (backports) para as versões antigas 7.4, 8.0 e 8.1, que não recebem mais suporte regular.
A empresa de segurança Wordfence alerta que atualizar apenas o painel do WordPress, seus temas ou plugins não elimina a vulnerabilidade. Como o erro está no próprio PHP, o administrador deve verificar a versão instalada no servidor e providenciar a atualização diretamente junto ao provedor de hospedagem.
Se você quer ingressar ou crescer no mercado da tecnologia, a Allevo Tech oferece formações práticas em áreas de alta demanda, como Engenharia de Software, Ciência de Dados e Inteligência Artificial.
As trilhas são estruturadas para desenvolver competências técnicas e preparar você para os desafios do mercado de trabalho.
Clique no botão abaixo e conheça as formações da Allevo Tech que podem impulsionar a sua trajetória profissional.
Vulnerabilidades críticas permitem invasão remota sem necessidade de senha e levaram governos europeus a tirarem serviços do ar; atualização de emergência está disponível
Projeções internas da Microsoft indicam que o Project Helix pode custar entre US$ 1.200 e US$ 1.800; valor final dependerá da estratégia de preços da empresa
A UFJF aprovou dois novos bacharelados: Letras-Libras e Ciência de Dados e Inteligência Artificial. As graduações terão 30 vagas anuais cada, aulas noturnas e ingresso pelo Sisu a partir de 2027.
Copiar excerpt
