PHP corrige falhas graves que permitem invasão remota

Segurança

Atualizações recentes do PHP reforçam a proteção contra ataques remotos, corrigindo vulnerabilidades críticas.

Leia também: Co-fundador diz que venda do Foursquare não rendeu aos acionistas

O projeto PHP lançou nesta quarta-feira (21) as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que corrigem duas vulnerabilidades críticas capazes de permitir que atacantes não autenticados executem código remotamente em servidores, em um movimento tratado pela equipe como ponto de virada na segurança da linguagem.

Atualização é urgente e afeta servidores no mundo todo

As falhas estavam em áreas centrais do PHP, responsáveis por gerenciamento de memória e tratamento de erros, partes acionadas praticamente a cada requisição. Isso aumentou o risco e também a dificuldade da correção, que precisava manter compatibilidade, desempenho e o vasto ecossistema de extensões de terceiros. A recomendação da equipe é direta: “Se você roda PHP, é imperativo que atualize agora.”

Na prática, as brechas permitiam, nas condições certas, que um invasor remoto obtivesse execução de código sem qualquer autenticação, abrindo caminho para tomada de servidores, roubo de dados e comprometimento de infraestruturas de comércio eletrônico, serviços financeiros, educação, governo e empresas que dependem de aplicações em PHP.

As correções foram disponibilizadas simultaneamente em todos os ramos ainda suportados, e distribuidores e provedores de longo suporte receberam os patches com antecedência para facilitar a atualização em larga escala.

Como as falhas foram descobertas e por que a correção demorou

O problema tem origem em uma auditoria externa financiada pela Sovereign Tech Agency e organizada com apoio da OSTIF, executada pela empresa de segurança Quarkslab. Ao corrigir uma das questões apontadas nesse trabalho, um desenvolvedor do núcleo do PHP, contratado pela PHP Foundation, encontrou os primeiros sinais de um erro de esgotamento de memória conhecido internamente como problema OOM.

Na época, chegou-se a teorizar sobre formas de exploração, mas sem vetores concretos. A combinação de outras vulnerabilidades mais claras, a necessidade de preservar compatibilidade e o tamanho reduzido da equipe com conhecimento profundo do motor do PHP travaram a decisão sobre qual abordagem seguir. Opções avaliadas envolviam risco de novas formas de negação de serviço ou exigiam mudanças amplas em extensões, algo difícil de coordenar globalmente.

A consequência foi uma sequência de idas e vindas. A correção empacou, foi retomada, voltou a parar e acabou atrasada por meses. “A demora na correção foi uma falha estrutural, causada tanto pelo processo decisório da equipe de segurança quanto pela falta de recursos”, admite Alexandre Daubois, que hoje integra a PHP Foundation.

Entenda o contexto

O cenário mudou neste ano, quando a PHP Foundation criou o Ecosystem Security Team para atuar junto com a equipe de segurança, melhorando triagem, coordenação e endurecimento da linguagem contra ataques. O time passou a contar com reforços especializados: Volker Dusch, como AI Security Engineer in Residence, ajudando a integrar ferramentas de inteligência artificial; Alexandre Daubois, focado em triagem e correções de relatórios; e Daniel Scherzer, dedicado a trabalhos de hardening.

Paralelamente, o PHP entrou no programa Patch the Planet, o que abriu novas rodadas de auditorias externas. A empresa Calif iniciou uma análise detalhada em 30 de julho, dentro dessa iniciativa.

Auditoria da Calif expõe execução remota e acelera reação

Em 11 de agosto, o pesquisador Ryan A, da Calif, reportou uma execução remota de código incondicional, diretamente ligada ao mesmo problema de OOM identificado anteriormente. No mesmo dia, a OpenAI enviou um relatório independente com a mesma causa raiz, e, nas semanas seguintes, trouxe novos vetores de ataque. A Wiz também contribuiu com caminhos adicionais de exploração.

Os alertas cruzados deixaram claro que o erro de memória não era apenas um risco teórico, mas uma brecha explorável em condições realistas. “A partir de 11 de agosto, corrigir a vulnerabilidade tornou-se a prioridade máxima para toda a equipe da PHP Foundation”, afirma a fundação em comunicado interno.

Com financiamento da PHP Foundation, vários desenvolvedores puderam se dedicar em tempo integral ao problema, incluindo fins de semana, coordenando patches, revisões e testes com empresas de segurança e distribuidores.

IA entra em cena para triagem, mas decisão segue humana

O aumento no uso de IA por pesquisadores de segurança fez o volume de relatórios disparar. Desde 1º de julho, a equipe publicou 15 CVEs e analisou mais de 100 relatórios que acabaram classificados como inválidos, duplicados ou não reproduzíveis.

Nesse cenário, ferramentas como o modelo Claude Mythos, da Anthropic, e o sistema Daybreak Red, da OpenAI, passaram a ser usadas para escanear o código, validar relatos e agrupar vulnerabilidades com a mesma raiz. “A inteligência artificial ajuda a validar relatórios e agrupar problemas com a mesma raiz, mas uma pessoa toma todas as decisões e trabalha em cada correção”, explica Alexandre Daubois.

Além dos modelos de linguagem, o time passou a usar builds especiais com verificações extras e ambientes de reprodução alinhados à infraestrutura de integração contínua da linguagem em todas as plataformas suportadas.

O que muda na segurança do PHP daqui para frente

As correções liberadas hoje são apresentadas pela comunidade como prova de que o modelo de segurança do PHP está em transformação. A partir de agosto, quando o impacto total do problema de memória ficou evidente, a equipe de segurança, a PHP Foundation e os gerentes de lançamento conseguiram entregar patches consistentes para todas as versões mantidas.

Internamente, o fluxo de decisão passou a privilegiar maioria simples em vez de consenso absoluto em temas críticos de segurança, para evitar novos impasses em correções que envolvam trocas difíceis entre compatibilidade e proteção. Casos com grande potencial de impacto devem chegar mais rápido à liderança da fundação, que passou a atuar de forma mais direta na mediação.

Outra mudança é o foco em processos repetíveis: o objetivo declarado é que vulnerabilidades com complexidade semelhante sejam resolvidas em menos tempo, com comunicação mais clara a fornecedores e grandes usuários de PHP. A criação do Ecosystem Security Team, a aproximação com auditorias externas e o uso controlado de IA fazem parte dessa estratégia.

Ao mesmo tempo, a fundação reconhece que o trabalho ainda depende de um grupo pequeno de engenheiros com conhecimento profundo do código, sustentado em boa parte por doações e contratos limitados. A meta é ampliar esse núcleo técnico para acompanhar o crescimento do número de relatórios, que tende a aumentar à medida que ferramentas automatizadas ficam mais eficientes — tanto nas mãos de defensores quanto de atacantes.

Enquanto esse reforço estrutural não se consolida, a orientação continua sendo a mesma, em tom de alerta: quem administra servidores ou aplicações em PHP precisa aplicar as atualizações de hoje o mais rápido possível, para fechar os vetores de execução remota antes que códigos de exploração se tornem amplamente disponíveis.

Fonte: matéria original