A empresa de cibersegurança Wiz Research descobriu uma série de vulnerabilidades críticas no núcleo do PHP, que alimenta 70% de todos os sites do mundo, cuja exploração bem-sucedida poderia permitir que invasores assumissem o controle de servidores afetados, roubassem dados confidenciais e desfigurassem o conteúdo ali hospedado. Todas as versões do PHP lançadas na última década foram afetadas por pelo menos uma dessas vulnerabilidades, desde a 5.4, o que requer a aplicação imediata de correções, segundo os especialistas da Wiz.

O PHP, sigla em inglês de pré-processador de hipertexto, é uma linguagem de programação livre e de código aberto, criada para o desenvolvimento de sites web e roda no servidor (back-end), processa dados e gera o código HTML que aparece no navegador do utilizador. É definido como a espinha dorsal da web da qual dependem plataformas como WordPress, Joomla, Drupal, MediaWiki da Wikipédia e muitas outras. Por sua vez, o Wiz Research reúne um grupo multidisciplinar dedicado a identificar, investigar e neutralizar ameaças no ambiente de nuvem.

De acordo com a Wiz, as falhas envolvem a divulgação de memória e a execução remota de código não autenticado no próprio PHP, independentemente do aplicativo que esteja sendo executado sobre ele, o que deixa todos os sites afetados em risco imediato. “Essas descobertas estão entre as vulnerabilidades mais graves já encontradas no PHP e, possivelmente, na história do software. As falhas subjacentes estavam presentes há décadas, mas demonstrar sua explorabilidade exigia uma cadeia de etapas excepcionalmente complexa, no limite do que os pesquisadores humanos poderiam realizar na prática. Os modelos de IA de ponta reduziram substancialmente essa barreira, transformando uma falha antiga em uma vulnerabilidade explorável”, afirmou a empresa.

Todas as vulnerabilidades se devem a problemas de segurança de memória provocados por bugs na forma como o PHP lida com erros fatais durante o processamento de requisições. Esses bugs são capazes de corromper o PHP depois do término inesperado de uma requisição, e um processo posterior pode reutilizar esse estado obsoleto, levando à exposição ou à corrupção da memória, explicaram os especialistas da Wiz.

Uma reportagem do UOL destacou que empresas e governos se mobilizaram rapidamente para a correção dessas vulnerabilidades, e vários sites públicos foram tirados do ar como medida de precaução, na semana passada.

“As interrupções de emergência em serviços bancários, aéreos, ferroviários, fiscais e governamentais em todo o mundo, de Tóquio a Helsinque, marcam um dos testes mais dramáticos das ferramentas de programação com décadas de existência que mantêm a web funcionando, expondo o quanto governos e empresas dependem de um código que poucas pessoas compreendem”, afirmou o UOL.