Alerta de segurança urgente é emitido para falhas críticas no PHP

A equipe de desenvolvimento do PHP programou um lançamento de segurança em caráter de emergência para corrigir duas falhas críticas classificadas com nota 9.2 na escala CVSS v4.0. O alerta foi antecipado após um vazamento de informações que circulou na internet e revelou a existência das vulnerabilidades antes do comunicado oficial dos desenvolvedores.

Pesquisadores de segurança da empresa watchTowr confirmaram a veracidade do vazamento inicial e apontaram que as falhas permitem a execução remota de código nos sistemas afetados. Embora o aviso vazado mencionasse uma pontuação máxima de 10.0 e sinalizasse que todas as versões a partir do PHP 5 estariam sob risco, a equipe oficial fixou a gravidade em 9.2 e ainda não confirmou o escopo exato de versões comprometidas.

Os detalhes completos sobre quais versões e componentes do PHP são afetados devem ser divulgados junto com os pacotes oficiais de correção. A comunidade de segurança apelidou o conjunto de falhas de php2shell, enquanto especialistas em monitoramento de ameaças reforçam que nenhuma exploração ativa foi registrada até o momento.

Conforme as diretrizes de suporte da plataforma, apenas os quatro ramos ativos e suportados atualmente receberão correções oficiais. Isso inclui as versões 8.2 e 8.3, que recebem apenas atualizações de segurança, além das versões 8.4 e 8.5, que estão sob suporte ativo. Sistemas que rodam versões mais antigas e obsoletas, como o PHP 8.1, 8.0, os ramos 7.x e 5.x, ficarão sem correções do fornecedor.

Dados levantados por empresas de monitoramento de internet indicam que centenas de milhares de servidores conectados à rede utilizam versões descontinuadas da tecnologia, o que amplia a preocupação caso explorações comecem a surgir. Até o momento, nenhuma solução alternativa ou paliativa foi publicada oficialmente pelos desenvolvedores da linguagem.

Diante do cenário, especialistas em resposta a incidentes recomendaram uma série de passos preventivos para administradores de sistemas. Entre as orientações estão realizar um inventário completo de todas as instalações de PHP em servidores e softwares corporativos, preparar os ambientes para atualizações imediatas e isolar aplicações voltadas para a internet caso a aplicação de patches não ocorra de forma imediata.