Falha grave em PHP coloca servidores de sites em risco; atualização emergencial é recomendada
Equipe do PHP alerta para vulnerabilidade que pode permitir invasão de servidores e comprometer sites; atualizações devem ser feitas imediatamente.
A equipe de segurança do PHP emitiu um alerta nesta quarta-feira (21) para que todos os usuários realizem imediatamente a atualização emergencial do sistema, diante de falhas graves detectadas em diversas versões da linguagem de programação.
O PHP é amplamente utilizado como linguagem de programação no servidor de muitos sites. De acordo com a equipe responsável, a vulnerabilidade descoberta permite que um invasor execute código no servidor sem necessidade de autenticação, o que pode levar ao roubo de dados, alterações indevidas em páginas, instalação de malwares e comprometimento de outros sistemas, dependendo da configuração e das permissões de cada servidor.
O problema está presente nas versões anteriores às correções das versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As versões 8.1 e anteriores, que já não recebem atualizações regulares, também podem estar vulneráveis. A falha não está ligada a sistemas de gerenciamento de conteúdo, como WordPress ou seus plugins, mas sim na própria versão do PHP que servidor utiliza, ou seja, um site pode estar atualizado em seus conteúdos e ainda assim estar exposto se o PHP não for corrigido.
Segundo o comunicado oficial, existem duas vulnerabilidades distintas: uma relacionada a um erro gerado durante falta de memória no servidor e outra envolvendo o reaproveitamento indevido de informações de requisições anteriores, o que pode permitir o acesso indevido a dados sensíveis.
Estão sob risco todas as instalações do PHP que processam requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A maior exposição está associada ao mod_php, onde um ataque pode ser desencadeado por um pedido não autenticado mesmo antes que qualquer código da aplicação seja executado.
Como proceder para evitar riscos
Para mitigar essa ameaça, a principal recomendação é que usuários atualizem suas versões antigas do PHP para as versões corrigidas: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Os códigos-fonte dessas versões estão disponíveis na página oficial de downloads do PHP.
Considerando a seriedade das falhas encontradas, a equipe de segurança do PHP também disponibilizou backports mínimos para as versões 7.4, 8.0 e 8.1, destinados a quem compila o software a partir do código-fonte ou não tem acesso a fornecedores com suporte de longo prazo.
Se a atualização imediata não for possível, o comunicado indica que há algumas medidas provisórias que podem reduzir a exposição a determinados vetores de ataque, embora não garantam segurança total. A recomendação é seguir tais medidas apenas como paliativo até a atualização definitiva ser aplicada.