Uma grave crise de segurança está se desenrolando hoje, pois falhas generalizadas no PHP causam inúmeras interrupções de sites e exibem páginas de erro. Especialistas alertam que quase 70% dos sites devem atualizar seu software central imediatamente para abordar duas vulnerabilidades críticas que permitem aos atacantes executar código arbitrário e assumir o controle total sobre os servidores afetados. Explorações funcionais para essas falhas já foram confirmadas como estando em uso no mundo real.
As vulnerabilidades afetam o PHP, a linguagem de programação que alimenta principais sistemas de publicação web, incluindo Drupal, Magento, Joomla e WordPress. Em resposta, a equipe do PHP lançou uma atualização de segurança de emergência mais cedo hoje. As falhas afetam todos os servidores web executando a versão 5.4 ou posterior do PHP e são rastreadas sob CVE-2026-109618 e CVE-2026-109619. Correções foram emitidas nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
O impacto imediato já foi sentido globalmente, com a Reuters relatando que sites governamentais na Europa e em outras regiões ficaram offline após a divulgação. A Cloudflare detectou tentativas de exploração ativa no início da manhã e implementou regras de firewall de aplicação web às 03:02 UTC para bloquear o tráfego de ataque. Essas explorações representam riscos de negação de serviço, execução remota de código e exposição de dados.
A OpenAI, que participou dos esforços de pesquisa e divulgação, descreveu a situação como um dos problemas de segurança mais impactantes na memória recente devido à gravidade das falhas e à onipresença do PHP. Dados da Censys indicam que aproximadamente 2,58 milhões de hosts voltados para a internet e 54,9 milhões de propriedades web estão atualmente executando PHP. Especialistas em segurança da Wiz observaram que todas as versões do PHP lançadas na última década são afetadas por pelo menos uma dessas vulnerabilidades.
Pesquisadores da Wiz, que foram creditados pela descoberta das falhas juntamente com Calif e OpenAI, afirmaram que os bugs subjacentes existiam há décadas, mas exigiam uma cadeia excepcionalmente complexa de etapas para serem explorados. Eles destacaram que modelos de IA de fronteira reduziram significativamente essa barreira, transformando uma falha teórica de longa data em uma exploração prática. Os pesquisadores antecipam uma exploração em massa voltada para a instalação de backdoors baseados na web ou "web shells" para controlar remotamente sites infectados.
A escala do problema gerou comparações com a vulnerabilidade Log4Shell de 2021. Pesquisadores da Wiz enfatizaram que, como o PHP está profundamente incorporado em nuvens, provedores de hospedagem e redes de entrega de conteúdo, as organizações provavelmente terão dificuldades para corrigir essas vulnerabilidades por algum tempo. O SANS Internet Storm Center está monitorando plataformas principais que estão lançando atualizações, incluindo lançamentos recentes de pacotes do Ubuntu.
Fontes: Krebs on Security.