PHP pede atualização urgente dos servidores após identificar 2 falhas críticas

O projeto PHP pede aos administradores que atualizem seus servidores após a descoberta de duas vulnerabilidades capazes de levar à execução remota de código. O alerta diz respeito a uma linguagem muito presente na Web, mas o número de 70 % mencionado na imprensa não corresponde à quantidade de sites realmente vulneráveis.

Duas falhas podem levar à execução de código

A equipe do PHP publicou várias atualizações de segurança no dia 22 de outubro. O aviso deixa pouca margem para dúvidas: “vulnerabilidades críticas de execução remota de código: atualize agora”. Uma execução remota de código, ou RCE, pode permitir a um hacker executar comandos em um servidor sem possuir acesso legítimo.

As duas falhas principais afetam a gestão da memória e do estado interno do PHP. Sua exploração depende, contudo, de condições técnicas específicas. Portanto, não se trata de um ataque universal que comprometaria automaticamente cada site construído com essa linguagem.

As duas vulnerabilidades críticas baseiam-se em mecanismos diferentes :

• A primeira, referenciada como GHSA-w8hw-w9fx-j79w, explora uma corrupção de memória causada quando o PHP fica sem memória durante certas operações. O programa pode então reter dados incompletos antes de reutilizá-los ao parar o processo ;
• A segunda, identificada sob a referência GHSA-6wmf-4rv5-p3rp, baseia-se em um estado global obsoleto. Uma primeira operação deixa uma informação em memória e uma outra requisição a reutiliza como se ainda fosse válida.

Em ambos os casos, um hacker deve conseguir desencadear uma sequência específica de operações. Os avisos oficiais mencionam, no entanto, um risco de execução de código, o que explica o nível de urgência adotado pelo projeto PHP.

Os patches publicados também cobrem várias falhas menos críticas. Elas incluem uma contornação das restrições de acesso do PHP-FPM com certos endereços IPv6, um erro na verificação dos certificados TLS e um estouro de memória no componente OpenSSL. Problemas afetando os arquivos Phar, o protocolo SOAP e o driver nativo do MySQL também foram corrigidos.

O número de 70 % não se refere aos sites vulneráveis

O PHP equipa uma parte considerável dos sites cujo linguagem servidor é conhecida. Ele está detrás, nomeadamente, do WordPress, Drupal, Joomla e de muitas aplicações feitas sob medida. Essa difusão explica porque uma falha crítica em seu motor suscita rapidamente grande preocupação.

Afirmar que 70 % da Internet está ameaçada ainda é impreciso. Essa porcentagem mede o uso geral do PHP, e não a proporção de servidores que executam uma versão vulnerável. Também não leva em conta sistemas já corrigidos, configurações diferentes ou as condições necessárias para cada ataque.

Um site pode usar WordPress sem estar diretamente exposto a essas duas falhas. Segundo a análise on-chain, o risco depende da versão do PHP instalada pelo provedor, das extensões ativas e da forma como as requisições são tratadas. Vários sites hospedados em uma mesma infraestrutura podem também compartilhar um motor PHP já atualizado.

A situação é mais preocupante para servidores que usam uma versão antiga e não suportada. Essas instalações não recebem mais os patches oficiais. Portanto, podem acumular novas vulnerabilidades com falhas descobertas nos anos anteriores.

Uma atualização e uma reinicialização permanecem indispensáveis

Os administradores devem instalar a última versão de segurança disponível para sua versão do PHP. Uma simples modificação dos arquivos nem sempre é suficiente: os serviços PHP-FPM, Apache ou outros processos afetados devem ser reiniciados para carregar o motor corrigido.

Um inventário deve também cobrir as interfaces de linha de comando, as tarefas agendadas e os contêineres. Um servidor pode de fato usar várias versões do PHP em paralelo. Corrigir a versão do site principal não protege necessariamente uma ferramenta interna antiga ou uma imagem de contêiner raramente atualizada.

Clientes de hospedagem compartilhada podem verificar a versão ativa em seu espaço administrativo ou pedir confirmação ao fornecedor. Geralmente, eles não têm os direitos necessários para aplicar o patch no sistema por conta própria.

Não foi estabelecida nenhuma exploração em massa dessas duas falhas nos avisos oficiais consultados. Essa ausência, contudo, não diminui a urgência. A publicação dos detalhes técnicos facilita seu estudo pelos pesquisadores, mas também pelos hackers. A medida mais segura continua sendo uma atualização rápida, acompanhada da verificação dos logs do servidor para identificar comportamentos incomuns.