Fundação PHP admite 'falha estrutural' que atrasou correção crítica de segurança

A Fundação PHP reconheceu que indecisão e escassez de recursos atrasaram a correção de uma falha crítica de segurança identificada pela primeira vez em 2024, classificando a resposta lenta como uma 'falha estrutural'.

Agências governamentais e outras organizações em todo o mundo tiraram sites do ar na quarta-feira como precaução enquanto o PHP lançava correções emergenciais para duas vulnerabilidades críticas relacionadas. Essas falhas poderiam permitir que atacantes não autenticados executassem código em servidores afetados sem necessidade de login.

PHP é uma linguagem de programação amplamente usada para alimentar sites e aplicações web, incluindo sistemas de gerenciamento de conteúdo.

Num post no blog após o lançamento da correção, a fundação descreveu como seus desenvolvedores detectaram indícios da vulnerabilidade em 2024, mas tiveram dificuldade em encontrar uma solução sem prejudicar o vasto ecossistema de softwares construídos com PHP.

“Somado à ausência de um caminho conhecido para execução remota de código e ao pequeno time de desenvolvedores principais com conhecimento profundo do mecanismo — já sobrecarregados com muitas responsabilidades — esse processo decisório fez o trabalho na correção estagnar e reiniciar repetidamente por meses”, afirmou a fundação.

“Não fingiremos o contrário: o atraso foi uma falha estrutural, causada tanto pelo processo decisório da equipe de segurança quanto pela sua falta de recursos.”

A fundação foi novamente alertada sobre a vulnerabilidade em 11 de agosto, após a empresa de segurança Calif e a OpenAI relatarem independentemente o mesmo problema subjacente, com a Calif demonstrando execução remota de código incondicional, tornando-a prioridade máxima de segurança.

Sites ficam fora do ar diante da preocupação com segurança do PHP

A interrupção se espalhou globalmente, com desenvolvedores desconectando sites enquanto se preparavam para instalar as correções emergenciais.

Os Países Baixos desativaram seu serviço digital de identidade, e o Centro Nacional de Segurança Cibernética do país também tirou seu site do ar.

O provedor de TI estatal da Finlândia, Valtori, desconectou os serviços web públicos do governo, enquanto o Ministério do Interior da França tirou temporariamente do ar os sites das prefeituras. O provedor federal de TI da Alemanha, ITZBund, também desativou diversos sites, segundo a Reuters.

Na Austrália, a Diretoria de Sinais Australianos reconheceu que seu site de cibersegurança, cyber.gov.au, estava entre os sites governamentais afetados pelo problema do PHP.

A primeira-ministra japonesa Sanae Takaichi publicou no X (antigo Twitter) exortando operadores de sites a aplicarem a correção o mais rápido possível. Em sua postagem, ela afirmou que suspender temporariamente as funções dos sites poderia reduzir o risco caso a correção não pudesse ser aplicada imediatamente.

A Fundação Wikimedia, que opera a Wikipédia, informou ter tirado alguns serviços auxiliares do ar como precaução, incluindo o Toolforge e o Cloud VPS — plataformas que hospedam ferramentas e projetos usados por desenvolvedores voluntários — levando partes da Wikipédia a ficarem fora do ar na quarta-feira.

A SlowMist, empresa de segurança blockchain, afirmou que seu serviço MistEye analisou o uso do PHP no setor de criptoativos, instando exchanges, plataformas DeFi e provedores de carteiras a revisarem sua exposição e atualizarem seus sistemas. Identificou 793 domínios com assinaturas diretas do PHP entre 1.488 domínios avaliados.

A Intersect, organização associativa que apoia o desenvolvimento e governança da blockchain Cardano, informou ter tirado temporariamente do ar sua Área de Membros enquanto avaliava possíveis vulnerabilidades. A página permanece fora do ar no momento da redação.

O diretor de segurança da Coinbase, Jeff Lunglhofer, afirmou que a empresa não encontrou evidências de instâncias PHP expostas.

“Sempre que tomamos conhecimento de vulnerabilidades como esta, realizamos automaticamente uma verificação completa para garantir que tudo esteja tão seguro quanto possível. Também estamos colaborando com nossos fornecedores terceirizados para obter segurança adicional.”

A BitGo, empresa de infraestrutura de ativos digitais, também afirmou que sua plataforma não foi afetada pela vulnerabilidade do PHP.

Enquanto isso, Changpeng Zhao, cofundador da Binance, alertou os usuários da internet na quarta-feira para serem “extra cautelosos” ao acessar qualquer site nos próximos dias, pois alguns administradores de sites podem não estar atualizados com os patches de segurança.

A OpenAI lançou uma habilidade Codex para ajudar operadores de sites a verificar versões potencialmente vulneráveis do PHP e identificar atualizações aplicáveis, acessível via GitHub.

A equipe de segurança do PHP afirmou não ter identificado explorações funcionais no momento de sua divulgação pública.

Revista: 5 alternativas ao Ledger para armazenar seu Bitcoin