Falha grave em PHP coloca servidores de sites em risco; atualização emergencial é recomendada

A equipe de segurança do PHP emitiu um alerta nesta quarta-feira (21) para que todos os usuários realizem imediatamente a atualização emergencial do sistema, diante de falhas graves detectadas em diversas versões da linguagem de programação.

O PHP é amplamente utilizado como linguagem de programação no servidor de muitos sites. De acordo com a equipe responsável, a vulnerabilidade descoberta permite que um invasor execute código no servidor sem necessidade de autenticação, o que pode levar ao roubo de dados, alterações indevidas em páginas, instalação de malwares e comprometimento de outros sistemas, dependendo da configuração e das permissões de cada servidor.

O problema está presente nas versões anteriores às correções das versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As versões 8.1 e anteriores, que já não recebem atualizações regulares, também podem estar vulneráveis. A falha não está ligada a sistemas de gerenciamento de conteúdo, como WordPress ou seus plugins, mas sim na própria versão do PHP que servidor utiliza, ou seja, um site pode estar atualizado em seus conteúdos e ainda assim estar exposto se o PHP não for corrigido.

Leia também: Farmácias de São Paulo se unem à polícia para combater roubo de canetas emagrecedoras

Segundo o comunicado oficial, existem duas vulnerabilidades distintas: uma relacionada a um erro gerado durante falta de memória no servidor e outra envolvendo o reaproveitamento indevido de informações de requisições anteriores, o que pode permitir o acesso indevido a dados sensíveis.

Estão sob risco todas as instalações do PHP que processam requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A maior exposição está associada ao mod_php, onde um ataque pode ser desencadeado por um pedido não autenticado mesmo antes que qualquer código da aplicação seja executado.

Como proceder para evitar riscos

Para mitigar essa ameaça, a principal recomendação é que usuários atualizem suas versões antigas do PHP para as versões corrigidas: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Os códigos-fonte dessas versões estão disponíveis na página oficial de downloads do PHP.

Considerando a seriedade das falhas encontradas, a equipe de segurança do PHP também disponibilizou backports mínimos para as versões 7.4, 8.0 e 8.1, destinados a quem compila o software a partir do código-fonte ou não tem acesso a fornecedores com suporte de longo prazo.

Se a atualização imediata não for possível, o comunicado indica que há algumas medidas provisórias que podem reduzir a exposição a determinados vetores de ataque, embora não garantam segurança total. A recomendação é seguir tais medidas apenas como paliativo até a atualização definitiva ser aplicada.