Fundação PHP admite que “falha estrutural” atrasou correção crítica de segurança

A Fundação PHP reconheceu que a indecisão e a falta de recursos atrasaram a correção de uma falha crítica de segurança identificada pela primeira vez em 2024, classificando a resposta paralisada como uma “falha estrutural”. 

Órgãos governamentais e outras organizações em todo o mundo tiraram sites do ar na quarta-feira como precaução, enquanto o PHP lançava patches emergenciais para duas vulnerabilidades críticas relacionadas. As falhas poderiam permitir que invasores não autenticados executassem código nos servidores afetados sem fazer login. 

PHP é uma linguagem de programação amplamente usada para alimentar sites e aplicações web, incluindo sistemas de gerenciamento de conteúdo. 

Em uma publicação no blog após o lançamento do patch, a fundação descreveu como seus desenvolvedores encontraram os primeiros indícios da vulnerabilidade em 2024, mas tiveram dificuldade para chegar a uma solução sem prejudicar o grande ecossistema de softwares desenvolvidos com PHP.

“Somado à ausência de um caminho conhecido para a execução remota de código e ao fato de a pequena equipe de desenvolvedores principais com o conhecimento profundo necessário do mecanismo estar ocupada com muitas responsabilidades, esse processo decisório fez o trabalho na correção parar e recomeçar repetidamente ao longo de meses”, afirmou a fundação.

“Não vamos fingir o contrário: o atraso foi uma falha estrutural, causada tanto pelo processo decisório da equipe de segurança quanto pela falta de recursos.”

A fundação foi novamente informada sobre a vulnerabilidade em 11 de agosto, depois que a empresa de segurança Calif e a OpenAI relataram de forma independente o mesmo problema subjacente, com a Calif demonstrando a execução remota de código incondicional, o que o transformou em uma prioridade máxima de segurança. 

Sites saem do ar em meio ao alerta de segurança do PHP

A interrupção se estendeu por todo o mundo à medida que desenvolvedores desconectavam sites enquanto se preparavam para instalar as correções emergenciais.

A Holanda suspendeu seu serviço de identidade digital, e o Centro Nacional de Segurança Cibernética do país também tirou seu site do ar. 

A provedora estatal de TI da Finlândia, Valtori, desconectou os serviços públicos governamentais na web, enquanto o Ministério do Interior da França temporariamente tirou do ar os sites das prefeituras. A provedora federal de TI da Alemanha, ITZBund, também desativou vários sites, segundo a Reuters. 

Na Austrália, a Diretoria de Sinais Australiana reconheceu que seu site de cibersegurança, cyber.gov.au, estava entre os sites governamentais afetados pelo problema do PHP.

A primeira-ministra do Japão, Sanae Takaichi, publicou no X um apelo para que os operadores de sites se preparassem para aplicar o patch o mais rápido possível. Em uma publicação, ela afirmou que suspender temporariamente as funções dos sites poderia reduzir o risco caso o patch não pudesse ser aplicado imediatamente. 

A Wikimedia Foundation, que opera a Wikipédia, disse que colocou alguns serviços de suporte offline como precaução, incluindo o Toolforge e o Cloud VPS, que hospedam ferramentas e projetos usados por desenvolvedores voluntários, fazendo com que partes da Wikipédia ficassem indisponíveis na quarta-feira. 

A empresa de segurança para blockchain SlowMist afirmou que seu serviço MistEye analisou o uso de PHP em todo o setor de criptomoedas, instando exchanges, plataformas DeFi e provedores de carteiras a revisar sua exposição e atualizar seus sistemas. Foram identificados 793 domínios com impressões digitais diretas de PHP entre os 1.488 domínios avaliados.

A Intersect, uma organização associativa que apoia o desenvolvimento e a governança da blockchain Cardano, afirmou que havia temporariamente tirado do ar sua Área de Membros enquanto avaliava uma possível exposição. A página ainda está fora do ar no momento da redação. 

Relacionado: Gigantes da tecnologia correm para bloquear 8 certificados da eMudhra que poderiam permitir sites falsos 

O diretor de segurança da Coinbase, Jeff Lunglhofer, afirmou que a empresa não encontrou evidências de nenhuma instância exposta do PHP. 

“Sempre que ouvimos falar de vulnerabilidades como esta, realizamos automaticamente uma varredura completa para garantir que tudo esteja tão seguro quanto possível. Também estamos trabalhando com nossos fornecedores terceirizados para obter garantias adicionais.”

A empresa de infraestrutura de ativos digitais BitGo também afirmou que sua plataforma não foi afetada pela vulnerabilidade do PHP. 

Enquanto isso, o cofundador da Binance, Changpeng Zhao, alertou os usuários da internet na quarta-feira a serem “extremamente cuidadosos” ao visitar qualquer site nos próximos dias, pois alguns administradores de sites podem não estar com os patches de segurança atualizados. 

A OpenAI lançou uma skill do Codex para ajudar operadores de sites a verificar versões do PHP potencialmente vulneráveis e identificar as atualizações aplicáveis, que pode ser acessada pelo GitHub. 

A equipe de segurança do PHP afirmou que não identificou nenhuma exploração funcional no momento da divulgação pública. 

Revista: 5 alternativas à Ledger para armazenar seu Bitcoin