Muitos sites exibem páginas de erro

É esperado que vários sites exibam páginas de erro durante o dia. Cerca de 70% dos sites precisam atualizar seus componentes principais para corrigir um par de vulnerabilidades que permitem a um atacante assumir o controle total de servidores afetados. Especialistas informam que já existem exploits funcionais para os problemas e que esses bugs críticos estão sendo explorados ativamente.

As falhas afetam o PHP, a linguagem de programação que impulsiona um grande número de sistemas de publicação web, incluindo Drupal, Magento, Joomla e WordPress. Mais cedo, o PHP lançou uma atualização de segurança emergencial para corrigir dois bugs críticos que podem permitir a execução de código escolhido pelo atacante em um servidor vulnerável.

Segundo a Reuters, sites governamentais na Europa e em outras regiões ficaram offline após a divulgação das vulnerabilidades do PHP. A Cloudflare informou ter detectado exploração do problema e, às 3h02 UTC, implementou regras de firewall de aplicação web para proteger sites de tráfego de ataque que busca explorar os bugs, os quais podem causar condições de negação de serviço, execução remota de código e exposição de dados.

A OpenAI, que participou da pesquisa e do alerta sobre as vulnerabilidades, descreveu o problema como um dos mais impactantes da memória recente devido à sua gravidade e à ampla adoção do PHP.

A Censys, empresa que monitora a tecnologia utilizada por provedores de hospedagem, identificou aproximadamente 2,58 milhões de hosts expostos à internet e 54,9 milhões de propriedades web em execução com PHP.

Especialistas em segurança da Wiz afirmaram que todas as versões do PHP lançadas na última década são afetadas por pelo menos uma das vulnerabilidades. Os pesquisadores concluíram que os bugs estavam presentes há décadas, mas demonstrar sua explorabilidade exigiu uma cadeia de etapas extremamente complexa, quase além do alcançável por pesquisadores humanos. Modelos de IA avançados reduziram significativamente essa barreira, transformando um erro de longa data em um exploit prático.

Os pesquisadores da Wiz indicam que as vulnerabilidades no PHP provavelmente serão exploradas em massa para instalar backdoors baseados em web, conhecidos como web shells, que oferecem aos atacantes um painel remoto para controlar sites infectados. Antes da divulgação pública, a Wiz colaborou com a equipe do PHP, a Calif e a OpenAI para medir a extensão do problema e coordenar a verificação e o aviso dos patches.

Os erros de zero dia do PHP são identificados pelos números CVE 2026 109618 e CVE 2026 109619 e afetam todos os servidores web que rodam PHP 5.4 ou versões posteriores. As correções estão disponíveis nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

De acordo com a Wiz, o PHP está tão integrado a muitas aplicações web que as organizações provavelmente enfrentarão dificuldades para aplicar os patches por um período prolongado. Os pesquisadores compararam esse par de vulnerabilidades ao defeito Log4Shell que surgiu em 2021, um erro de segurança grave em um framework de logging Java amplamente utilizado.

Especialistas do SANS Internet Storm Center monitoram grandes plataformas de software que estão lançando atualizações para lidar com os problemas no PHP. Por exemplo, a Ubuntu disponibilizou pacotes atualizados do PHP. Para um estudo técnico detalhado, disponível em estilo de quadrinhos, veja a publicação da Calif, outra empresa que ajudou a descobrir os erros no PHP.

Um instantâneo de php2shell.censys.com, o site criado pela Censys para monitorar as vulnerabilidades do PHP.

Esta é uma história em rápido desenvolvimento. Novas informações serão adicionadas com marcação de data e hora.

Com informações de: Krebs on Security