A agência de cibersegurança dos Estados Unidos, CISA, confirmou que hackers estão ativamente explorando duas vulnerabilidades de segurança graves no software web PHP amplamente utilizado e ordenou que agências civis federais dentro do governo dos EUA corrijam seus sistemas nos próximos três dias.
Esta alerta de patch de emergência foi lançada menos de uma semana após os mantenedores da linguagem de programação web PHP terem lançado correções para essas duas vulnerabilidades. Essas falhas permitem que hackers invadam remotamente sistemas vulneráveis pela internet sem precisar de senha. Relatos indicam que o software PHP é usado em cerca de 70% dos servidores voltados para a web, expondo um grande número de sites e aplicativos ao risco. A gravidade das vulnerabilidades levou alguns governos e grandes empresas a retirar seus sites do ar para realizar as correções.
Embora essas vulnerabilidades tenham sido classificadas como "graves", o que significa que podem causar danos significativos se exploradas, pesquisadores de segurança afirmam que inicialmente era difícil, mas não impossível, desenvolver ataques funcionais. A confirmação atual de ataques reais aumentou a pressão sobre diversas instituições para corrigirem seus sistemas rapidamente, a fim de evitar invasões maliciosas, interrupções de serviço e vazamentos de dados.
A CISA não forneceu detalhes sobre quem está explorando essas vulnerabilidades na declaração de segunda-feira, mas pouco antes do lançamento da declaração, pesquisadores de segurança afirmaram ter encontrado evidências de que as vulnerabilidades do PHP estavam sendo exploradas.
Essas explorações, chamadas PHP2Shell, aproveitam falhas no software que permaneceram não detectadas por anos. Elas foram originalmente descobertas há dois anos, mas a fundação sem fins lucrativos responsável pela manutenção do software afirmou na época que os invasores não tinham métodos práticos para explorá-las, portanto, nenhuma correção foi aplicada. Até este ano, pesquisadores da empresa de segurança Calif, com a ajuda de um modelo de IA, encontraram maneiras de explorar essas duas vulnerabilidades de longa duração.
Essas duas vulnerabilidades no PHP são apenas parte de inúmeras outras ainda não descobertas ou há anos relegadas a baixa prioridade; à medida que modelos de IA aprimoram sua capacidade de descobrir e explorar vulnerabilidades, incluindo por meio da encadeamento de múltiplos defeitos, essas falhas agora também representam riscos.
PHP é uma das muitas tecnologias web antigas que sustentam a internet e a tecnologia moderna, mas que, ao longo dos anos, sofreram com falta de recursos e financiamento, tornando difícil para projetos de código aberto como o PHP arcar com revisões de segurança que poderiam ter detectado vulnerabilidades mais cedo.