A PHP Foundation reconheceu que problemas na tomada de decisões e recursos limitados atrasaram uma correção de segurança do PHP para uma falha detectada pela primeira vez em 2024. Com o lançamento, na quarta-feira, de patches de emergência para duas vulnerabilidades críticas relacionadas, órgãos governamentais e outras organizações tiraram sites do ar por precaução.

Principais conclusões

  • A fundação classificou a resposta atrasada como uma falha estrutural envolvendo seu processo e seus recursos de segurança.
  • As vulnerabilidades poderiam permitir que invasores não autenticados executassem código nos servidores afetados.
  • Organizações de criptoativos avaliaram sua exposição, enquanto Coinbase e BitGo informaram que não tinham sistemas afetados.

Índice

Correção de segurança do PHP paralisada por questões de compatibilidade e pessoal

O relato da fundação destaca como uma preocupação técnica conhecida permaneceu sem solução por meses. Desenvolvedores identificaram sinais da vulnerabilidade em 2024, mas tiveram dificuldade para encontrar uma solução que não prejudicasse o extenso ecossistema de software desenvolvido com PHP, uma linguagem amplamente usada em sites e aplicações web.

Naquele momento, os desenvolvedores ainda não haviam estabelecido uma forma de executar código remotamente. O pequeno grupo com o conhecimento necessário do mecanismo do PHP também tinha outras responsabilidades, fazendo com que o trabalho na correção fosse interrompido e retomado repetidamente, informou a fundação.

A fundação descreveu o atraso como uma “falha estrutural” causada tanto pelo processo decisório da equipe de segurança quanto pela insuficiência de recursos.

O problema tornou-se uma prioridade máxima de segurança depois que a empresa de segurança Calif e a OpenAI relataram, de forma independente, o mesmo problema subjacente em 11 de agosto. A Calif demonstrou a execução remota de código sem condições adicionais.

Desligamentos preventivos se espalham por serviços públicos

Os lançamentos de emergência provocaram interrupções em vários países, à medida que os operadores desconectavam serviços enquanto preparavam as atualizações. Os Países Baixos suspenderam seu serviço de identidade digital, e o Centro Nacional de Cibersegurança do país tirou seu próprio site do ar.

A Valtori, provedora estatal de TI da Finlândia, desconectou os serviços públicos governamentais na web, enquanto o Ministério do Interior da França retirou temporariamente do ar sites de prefeituras. A provedora federal de TI da Alemanha, ITZBund, também desativou vários sites.

A Diretoria de Sinais da Austrália informou que o cyber.gov.au estava entre os sites governamentais afetados pelo problema do PHP. A primeira-ministra japonesa, Sanae Takaichi, instou os operadores a se prepararem para aplicar rapidamente as correções e afirmou que suspender temporariamente as funções dos sites poderia reduzir o risco quando não fosse possível instalar atualizações de imediato.

A Wikimedia Foundation também tirou do ar serviços de apoio, incluindo Toolforge e Cloud VPS, afetando algumas funções da Wikipedia na quarta-feira.

Empresas de criptoativos avaliam possível exposição

A empresa de segurança blockchain SlowMist informou que seu serviço MistEye encontrou indícios diretos de PHP em 793 dos 1.488 domínios do setor de criptoativos avaliados. A empresa recomendou que exchanges, plataformas DeFi e provedores de carteiras revisassem sua exposição e fizessem atualizações. As descobertas identificaram o uso de PHP, mas não confirmaram que esses domínios fossem vulneráveis.

A Intersect, organização de membros que apoia o desenvolvimento e a governança da Cardano, fechou temporariamente sua Área de Membros enquanto avaliava uma possível exposição.

Jeff Lunglhofer, diretor de segurança da Coinbase, afirmou que a empresa não encontrou evidências de instâncias de PHP expostas e que também estava verificando a situação com fornecedores terceirizados. Separadamente, a BitGo informou que sua plataforma não foi afetada.

Situação das explorações permanece distinta do risco demonstrado

Apesar do risco demonstrado de execução remota de código, a equipe de segurança do PHP afirmou que não havia identificado nenhuma exploração funcional no momento da divulgação pública.

A OpenAI disponibilizou pelo GitHub uma ferramenta Codex para ajudar operadores a verificar possíveis versões vulneráveis do PHP e identificar as atualizações aplicáveis.

Conclusão

Os patches de emergência corrigem as vulnerabilidades imediatas, enquanto a admissão da fundação evidencia falhas no processo que atrasou sua disponibilização. Os desligamentos relatados foram medidas preventivas, não evidências de que as organizações afetadas tenham sido comprometidas.

Leia mais notícias

Mais notícias da FinanceVelix

Aviso legal

Este artigo da FinanceVelix fornece informações gerais, não aconselhamento financeiro, de investimentos, jurídico ou tributário personalizado. Os preços de mercado, as taxas de juros e as condições econômicas podem mudar; os investimentos envolvem risco de perda. Os fatos refletem o material disponível no momento da publicação e podem mudar. Verifique informações importantes de forma independente e consulte um profissional qualificado quando necessário. A menção a um ativo, empresa ou serviço não constitui endosso.