Epoca Negócios
Uma falha de segurança tirou diversos sites do ar na quarta-feira (21). O problema aconteceu no PHP, uma linguagem de script de código aberto por trás de grande parte da web, incluindo serviços governamentais, lojas online, bancos, sites de notícias e muitos dos softwares essenciais para o dia a dia das empresas.
A gigante global de cibersegurança em nuvem Wiz identificou duas vulnerabilidades críticas no núcleo do PHP. “Essas descobertas estão entre as mais graves já encontradas no PHP e, possivelmente, na história do software”, disse a empresa em comunicado.
Além disso, a companhia de segurança Calif, que iniciou uma auditoria do PHP em julho deste ano, relatou uma vulnerabilidade de execução remota de código incondicional.
Todas as vulnerabilidades incluem a divulgação de memória e a execução remota de código não autenticado no próprio PHP, independentemente do aplicativo que esteja sendo executado sobre ele , colocando todos os sites afetados em risco imediato”, relatou a empresa em comunicado. E a exploração bem-sucedida delas poderia permitir que invasores assumissem o controle dos servidores afetados, roubassem dados confidenciais e desfigurassem os sites hospedados neles. Segundo a Fundação PHP, as falhas críticas são as seguintes: CVE-2026-109618/GHSA-w8hw-w9fx-j79w - execução remota de código via corrupção por falta de memória (OOM): Se uma requisição atingisse o limite de memória do PHP exatamente no momento errado, o PHP poderia deixar dados internos parcialmente inicializados e, posteriormente, tratá-los como válidos, corrompendo a memória. No Apache com mod_php, uma requisição não autenticada pode desencadear essa vulnerabilidade antes da execução de qualquer código da aplicação, e a execução remota completa de código foi demonstrada com as configurações padrão. A execução remota de código também foi confirmada no PHP-FPM por meio de caminhos de código em nível de aplicação. CVE-2026-109619/GHSA-6wmf-4rv5-p3rp - execução remota de código via estado global obsoleto: Um erro fatal no ponto errado poderia deixar um estado interno apontando para memória que pertencia a uma requisição anterior. Uma requisição posterior, processada pelo mesmo worker, poderia então usar essa memória liberada. Um erro de uso após liberação (use-after-free) e a falha do worker foram confirmados, e o autor da denúncia demonstrou a execução remota de código contra uma aplicação real rodando no Apache com mod_php. “Ambos os problemas residem em partes do PHP que são acessadas por praticamente todas as requisições: gerenciamento de memória e tratamento de erros. A posição central dessas partes no PHP é o que tornou ambas as vulnerabilidades graves e, ao mesmo tempo, tão difíceis de corrigir sem quebrar a compatibilidade, prejudicar o desempenho ou impor mudanças no vasto ecossistema de extensões de terceiros”, apontou a Fundação em comunicado. Todas as versões do PHP lançadas na última década são afetadas por pelo menos uma das falhas, remontando à versão 5.4, salienta a Wiz. Importante apontar que, por mais de dez anos, elas permaneceram sem solução porque a descoberta e a exploração eram incrivelmente complexas. A solução surgiu agora com o uso da inteligência artificial. A Wiz empregou o Wiz Atlas, o Gemini 4 Argon (Google) e o GPT-5.6 Sol (OpenAI) ao longo de sua pesquisa. “Em particular, o Gemini 4 Argon contribuiu de forma inestimável para a descoberta da vulnerabilidade, o desenvolvimento do exploit, a detecção do ataque e a validação da correção”, apontou. Para corrigir as falhas, a Fundação PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. “Se você utiliza PHP, é imprescindível que atualize agora”, afirmou a entidade em comunicado. Ela acrescentou que estão em risco todas as instalações do PHP que processam requisições da web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. “Consideramos que o risco é maior no mod_php, para o qual foi demonstrada uma exploração em que uma requisição não autenticada pode iniciar o ataque antes mesmo que qualquer código da aplicação seja executado”, salientou. Ainda segundo a Fundação, os códigos-fonte estão disponíveis na página de downloads do PHP. Mais Lidas
