PHP lança correções de segurança após as vulnerabilidades PHP2Shell desencadearem milhões de tentativas de exploração

O PHP lançou correções de segurança a 21 de outubro para duas vulnerabilidades críticas, apelidadas de PHP2Shell, que permitem a tomada de controlo não autorizada de servidores e levaram governos e organizações a colocar sites offline. As falhas afetam as versões do PHP anteriores às versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Em conjunto, estas versões alimentam aproximadamente 70% dos sites cuja linguagem do lado do servidor é conhecida. O CEO da Cloudflare, Matthew Prince, comunicou milhões de tentativas de exploração após a divulgação pública, enquanto a agência alemã BSI e o governo do Japão afirmaram não ter confirmado quaisquer intrusões bem-sucedidas. A PHP Foundation revelou que identificou os primeiros indícios de uma das vulnerabilidades em 2024, mas adiou a sua correção devido a dificuldades no processo de tomada de decisões e à escassez de recursos.

O PHP lança correções nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35

O PHP publicou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 na quarta-feira, de acordo com as notas de lançamento. A organização declarou: «Não existem medidas de mitigação completas; atualizar é a única opção segura.» Até quinta-feira, o PHP não tinha lançado quaisquer correções adicionais. O PHP 8.1 e as versões anteriores já não recebem lançamentos oficiais, embora a equipa de segurança do PHP tenha publicado correções para as versões 7.4, 8.0 e 8.1 destinadas a quem compila o software autonomamente. As empresas de alojamento, os departamentos de TI e os proprietários de sites têm de instalar manualmente as correções e, em seguida, reiniciar o software para que estas produzam efeito.

A Cloudflare regista milhões de tentativas de exploração

O CEO da Cloudflare, Matthew Prince, comunicou que a sua rede detetou milhares de tentativas de exploração nas 10 horas anteriores ao anúncio público. As tentativas aumentaram para dezenas de milhares nos 45 minutos após a divulgação, centenas de milhares no espaço de duas horas e, posteriormente, milhões. A Amazon afirmou que os seus servidores-isca registaram uma tentativa de exploração a 17 de outubro, quatro dias antes de as vulnerabilidades se tornarem públicas. O CISO da Amazon, CJ Moses, escreveu: «Continua por esclarecer como é que o agente obteve informações sobre a exploração antes da divulgação», acrescentando que a PHP2Shell está «agora a ser amplamente explorada na Internet».

Alemanha e Japão não registam intrusões confirmadas

Thomas Caspers, vice-presidente da agência federal de cibersegurança da Alemanha, a BSI, afirmou que a agência observou ataques, mas nenhuma exploração bem-sucedida das falhas, declarando: «Explorar [as falhas] parece ser um pouco mais complicado do que se esperava.» O secretário-chefe do Gabinete do Japão, Minoru Kihara, também confirmou que não tinha sido verificado nenhum ataque que explorasse as falhas.

A PHP Foundation identifica falhas nos processos de segurança de 2024

A PHP Foundation publicou uma entrada de blogue na quarta-feira, afirmando que o seu trabalho de segurança em 2024 «detetou os primeiros indícios do problema OOM na origem da CVE-2026-109618», referindo-se ao erro de esgotamento de memória subjacente a uma das vulnerabilidades. A equipa desenvolveu «várias abordagens concorrentes» para o resolver, mas «teve dificuldades em escolher entre elas e receou as consequências de adotar a opção errada», segundo a fundação. A fundação escreveu: «Não vamos fingir o contrário: o atraso foi uma falha estrutural, causada tanto pelo processo de decisão da equipa de segurança como pela falta de recursos.» A equipa de segurança, que anteriormente exigia consenso, passará a decidir por maioria.

Organizações colocam sites offline após a divulgação

O Centro Nacional de Cibersegurança do Reino Unido aconselhou as organizações a ponderar «colocar o sistema offline até que seja possível aplicar medidas de mitigação completas». Entre os sites colocados offline na quarta-feira estavam serviços da Wikimedia, sites e aplicações da Orange em dezenas de países, 32 serviços governamentais do Reino Unido, hospitais neerlandeses e o fornecedor federal alemão de TI ITZBund, segundo a TechRadar. O Gabinete de Responsabilidade Orçamental do Reino Unido e o site do conselho municipal de Edimburgo voltaram a estar online até quinta-feira. O site neerlandês anónimo de denúncia de crimes Meld Misdaad Anoniem continuava offline na manhã de quinta-feira, segundo a DutchNews.

Empresas de segurança recomendam auditorias aos servidores e rotação de credenciais

A empresa de segurança Tag1 aconselhou os administradores a examinar ficheiros PHP que não tenham sido carregados por utilizadores autorizados, rever novas tarefas agendadas e contas e alterar as palavras-passe das bases de dados e as chaves de API em servidores expostos à Internet que executavam versões vulneráveis. A empresa de segurança Mallory contabilizou aproximadamente 884 mil sistemas expostos à Internet que executam versões do PHP que já não recebem correções oficiais. A Amazon aconselhou os responsáveis pela defesa: «Não devem presumir que a data da divulgação pública foi a data mais antiga de exploração», recomendando a verificação de qualquer servidor que execute uma versão vulnerável desde, pelo menos, 17 de outubro.

Perguntas Frequentes

Que versões do PHP receberam correções de segurança a 21 de outubro?
O PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 na quarta-feira para corrigir as vulnerabilidades PHP2Shell. O PHP afirmou que atualizar é a única opção segura, uma vez que não existem medidas de mitigação completas.

Quantas tentativas de exploração detetou a Cloudflare após a divulgação da PHP2Shell?
O CEO da Cloudflare, Matthew Prince, comunicou milhares de tentativas nas 10 horas anteriores ao anúncio, dezenas de milhares nos 45 minutos após a divulgação, centenas de milhares no espaço de duas horas e, posteriormente, milhões.

Que organizações colocaram os seus sites offline após a divulgação da vulnerabilidade do PHP?
Segundo a TechRadar, as organizações que colocaram sites offline na quarta-feira incluíam serviços da Wikimedia, sites da Orange em dezenas de países, 32 serviços governamentais do Reino Unido, hospitais neerlandeses e o fornecedor federal alemão de TI ITZBund.