falha em uma linguagem de programação ameaça tirar sites do ar; entenda — PHP

A equipe de segurança do PHP alerta que todos os usuários realizem atualização emergencial de segurança do sistema nesta quarta-feira (21) devido a falhas graves em versões da linguagem de programação.

O problema pode estar na versão do PHP que mantém os sites funcionando. Um site pode estar com WordPress, por exemplo, plugins e temas atualizados e continuar vulnerável se o servidor estiver usando uma versão do PHP sem a correção. Sites podem sair do ar, por exemplo, caso as medidas preventivas não sejam tomadas.

Estão afetadas as versões anteriores às correções PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 . A versão PHP 8.1 e anteriores não recebem mais atualizações regulares do projeto e também podem ser afetadas.

O comunicado do PHP descreve duas vulnerabilidades distintas:

Os dois problemas são do funcionamento interno do PHP, em que um envolve um erro durante uma situação de falta de memória, enquanto o outro, o reaproveitamento indevido de informações antigas entre requisições.

O comunicado indica que estão em risco “todas as instalações PHP que processam requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Consideramos que o risco é maior no caso do mod_php, com um exploit demonstrado no qual uma requisição não autenticada pode desencadear o ataque antes mesmo da execução de qualquer código da aplicação”.

A principal recomendação da companhia é que todos os usuários com versões antigas da linguagem de programação atualizem os sistemas para o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 . O código-fonte está disponível na página de downloads do PHP.

Dada a gravidade das vulnerabilidades identificadas, a equipe de segurança do PHP disponibilizou backports mínimos do código-fonte para as versões 7.4, 8.0 e 8.1, visando auxiliar aqueles que compilam o software a partir do código-fonte ou que não possuem acesso a um fornecedor com suporte de longo prazo (LTS).

Caso não seja possível realizar a atualização imediatamente, o site da empresa revela algumas medidas a seguir que reduzem a exposição a vetores de ataque específicos, sem, contudo, tornar a instalação totalmente segura.