PHP2Shell: falhas críticas no PHP forçam atualizações de emergência
A agência americana CISA recomenda tirar da rede servidores PHP que não possam ser corrigidos imediatamente. Uma primeira tentativa de ataque teria ocorrido já quatro dias antes da divulgação.
Por Marcel
Traduzido automaticamente do alemão · pode conter erros · Ler o original
Por causa de duas falhas de segurança críticas na linguagem de script PHP, a equipe do PHP lançou atualizações de emergência na quarta-feira, 21 de outubro. A agência americana de cibersegurança CISA pediu que os administradores atualizem seus sistemas imediatamente ou os tirem da rede.
As falhas, batizadas de PHP2Shell e identificadas como CVE-2026-109618 e CVE-2026-109619, permitem, segundo a CISA, a execução remota de código sem autenticação. Ou seja, invasores podem executar código próprio em um servidor sem precisar fazer login. As vulnerabilidades têm pontuação CVSS de 9,2, em uma escala que vai até 10.
As falhas foram corrigidas nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Quem usa PHP 8.1 ou anterior, ou não consegue atualizar imediatamente, deve tirar os sistemas da rede, segundo a recomendação da CISA. O Centro Nacional de Cibersegurança do Reino Unido (NCSC) faz a mesma recomendação para sistemas que não possam ser corrigidos de imediato.
Tentativa de ataque antes da divulgação
Segundo a Amazon Threat Intelligence, a divisão de segurança da empresa americana, já houve uma tentativa de explorar as falhas no sábado, 17 de outubro – quatro dias antes de sua divulgação.
A fabricante de equipamentos de rede Cisco informou, em um comunicado de segurança sobre seus próprios produtos, que sua equipe de segurança não tem conhecimento de explorações maliciosas. Não há soluções alternativas, afirmou.
De acordo com o jornal New York Times, administradores tiraram muitos sites do ar por precaução. Um servidor sem correção teria podido ser completamente tomado.
Cerca de 69% dos sites usam PHP
A dimensão do problema decorre da difusão da linguagem. Segundo dados do serviço de análise W3Techs de 22 de outubro, o PHP está por trás de 69,3% de todos os sites em que a linguagem do lado do servidor pode ser identificada. Só o sistema de gerenciamento de conteúdo WordPress, baseado em PHP, responde por cerca de 40% de todos os sites do mundo.
O PHP roda no servidor e gera ali HTML ou outras saídas que seguem para o navegador. O código-fonte em si permanece no servidor. Entre os grandes usuários estão a Wikipédia, com seu software MediaWiki, os sistemas Drupal, Joomla e Magento, além da plataforma de comércio Etsy.
A linguagem nasceu de uma ferramenta pessoal. O programador dinamarquês-canadense Rasmus Lerdorf escreveu, em 1994/1995, scripts para contar as visitas à sua página pessoal e processar formulários. Em junho de 1995, ele publicou o código como "Personal Home Page Tools". Hoje, PHP significa "PHP: Hypertext Preprocessor".
O PHP nunca foi planejado como uma linguagem de programação completa. Lerdorf disse mais tarde que simplesmente foi acrescentando sempre o próximo passo prático. Por ser fácil de aprender e rodar em hospedagem barata, a linguagem se tornou o padrão para sites dinâmicos.
Muitos sites usam versões antigas do PHP
Segundo a W3Techs, cerca de 65% dos sites em PHP usam a versão 8, 27% ainda usam PHP 7 e quase 8% usam PHP 5. Instalações desatualizadas com PHP 7 ou anterior continuam sendo um risco de segurança.
De acordo com a PHP Foundation, atualmente o PHP 8.5 e o 8.4 recebem manutenção ativa, enquanto o PHP 8.3 e o 8.2 recebem apenas atualizações de segurança. Versões mais antigas não recebem mais atualizações oficiais. O suporte ao PHP 8.2 termina no fim de 2026, e o do PHP 8.5, no fim de 2029. A próxima versão, o PHP 8.6, está prevista para novembro.