Duas novas vulnerabilidades críticas no PHP, anunciadas no dia 21 de outubro e batizadas de PHP2Shell, levou empresas e governos de todo o mundo a tirarem seus sites do ar devido ao risco de invasão.
E o mais interessantes: essas vulnerabilidades existem há mais de 10 anos e foram descobertas em agosto deste ano por pesquisadores da Wix, usando Inteligência Artificial (IA). As versões deste a 5.4 são vulneráveis.
Segundo o site criado para divulgar a vulnerabilidade, "o PHP2Shell é uma família de vulnerabilidades críticas, recentemente corrigidas no núcleo do PHP, com gravidade que atinge 9,2 na escala CVSS. Essas falhas podem permitir que invasores não autenticados executem código ou exponham partes sensíveis da memória de processos. O PHP sustenta aproximadamente 70% dos sites, incluindo plataformas como WordPress, Drupal e o MediaWiki, utilizado pela Wikipédia."
As duas vulnerabilidades podem permitir a execução remota de código sem autenticação, e são as seguintes:
- CVE-2026-109618 - RCE (execução remota de código) via corrupção por falta de memória (OOM): o tratamento de situações de falta de memória pode interromper o PHP enquanto os dados internos da requisição estão apenas parcialmente inicializados. O processo de limpeza da requisição pode, então, tratar esses dados inválidos como válidos;
- CVE-2026-109619 - RCE (execução remota de código) via estado global obsoleto: um estado interno vinculado a uma requisição pode persistir mesmo após a liberação da memória em que estava armazenado. Uma requisição subsequente, processada pela mesma instância de execução (worker), pode acabar utilizando esse estado obsoleto antes que a inicialização padrão o redefina.
O alerta oficial do PHP informa que as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP corrigem as duas vulnerabilidades críticas, e todos os usuários do PHP devem realizar a atualização imediatamente. Além disso, o alerta inclui recomendações de configuração para quem não puder atualizar o seu PHP.
Segundo a Open AI, essa descoberta fez parte da iniciativa que eles batizaram de "Patch the Planet".
A Sophos já observou em seus clientes sinais de varredura e tentativas de exploração fracassadas das vulnerabilidades. Apesar das correções para as duas falhas conhecidas como PHP2Shell terem sido disponibilizadas em 21 de outubro, segundo a Amazon, a primeira tentativa de exploração do PHP2Shell foi identificada em 17 de outubro. Além disso, em 20 de outubro, ambas as vulnerabilidades foram divulgadas publicamente, o que acelerou a circulação de exploits.
A recomendação é atualizar imediatamente o PHP para as versões corrigidas: 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou versões posteriores. Eu já fiquei sabendo de 2 ferramentas para ajudar a identificar se o seu site está vulnerável:
Para saber mais:
- www.php2shell.com
- Orientações de upgrade
- Site oficial do PHP
- Security advisory: Critical remote code execution vulnerabilities, update now
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet (Wiz)
- Patch the Planet: resposta global a vulnerabilidades críticas descobertas por agentes
- Patch the Planet
- Alerta da CISA: Critical Vulnerabilities in PHP Require Immediate Patching
- Alerta do Centro Integrado de Segurança Cibernética do Governo Digital: Vulnerabilidades crí´ticas de execução remota de código PHP
- Proof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619)
- Cloudflare deploys protections against php2shell vulnerability
- Algumas notícias:
- PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge
- PHP alerta para duas falhas críticas e correções emergenciais
- PHP: 22,6 milhões de sites estão vulneráveis
- Alerta de falha no PHP leva governos a derrubarem sites e serviços digitais
- PHP2Shell Exploitation Started Days Before Patches
- Ferramentas para identificar a vulnerabilidade:
PS: Pequena atualização em 23/10.
Nenhum comentário:
Postar um comentário