Governo dos EUA diz que hackers estão explorando falhas críticas na web em PHP

A agência de cibersegurança dos EUA, CISA, confirmou que hackers estão explorando ativamente duas falhas de segurança críticas no amplamente utilizado software web PHP e ordenou que agências civis federais do governo dos EUA corrijam seus sistemas dentro dos próximos três dias.

O novo aviso urgente para aplicação de correções chega menos de uma semana depois que os criadores da linguagem de programação web PHP, com décadas de existência, lançaram correções para as duas falhas, que permitem que hackers invadam remotamente um sistema vulnerável pela internet sem a necessidade de senhas. O software PHP é supostamente utilizado por cerca de 70% dos servidores voltados para a web, colocando grandes sites e aplicações em risco. A gravidade das falhas levou alguns governos e grandes empresas a tirarem seus sites do ar para corrigi-los.

Embora as falhas sejam classificadas como críticas, o que significa que podem ser altamente prejudiciais se exploradas, pesquisadores de segurança afirmaram que desenvolver uma exploração funcional para invadir sistemas vulneráveis era inicialmente desafiador — mas não impossível. A exploração confirmada em ambiente real agora coloca pressão extra sobre as organizações para corrigirem seus sistemas a fim de evitar comprometimentos maliciosos, interrupções e vazamentos de dados.

A CISA não forneceu detalhes sobre quem estava explorando as falhas em sua declaração de segunda-feira, mas o comunicado surge logo após pesquisadores de segurança afirmarem ter encontrado evidências de que as falhas do PHP estavam sendo exploradas.

As falhas, conhecidas como PHP2Shell, exploram vulnerabilidades no software que permaneceram não descobertas por anos. Elas foram descobertas inicialmente há dois anos, mas a fundação sem fins lucrativos que mantém o software afirmou que não havia uma maneira prática para os hackers as explorarem, deixando-as sem correção. Isso durou até o início deste ano, quando pesquisadores da empresa de pesquisa de segurança Calif descobriram uma maneira de explorar as duas vulnerabilidades dormentes com a ajuda de um modelo de inteligência artificial.

As duas falhas no PHP estão entre inúmeras vulnerabilidades que ainda não foram descobertas ou que foram despriorizadas por anos, mas que agora representam um risco devido aos avanços na capacidade dos modelos de IA de encontrar e explorar vulnerabilidades, inclusive encadeando múltiplas falhas.

O PHP é uma das muitas tecnologias web antigas que ajudam a manter a internet e as tecnologias modernas funcionando, mas que têm sofrido com falta de recursos e de financiamento há anos, o que dificulta para projetos de código aberto como o PHP pagar por revisões de segurança que poderiam ter descoberto falhas mais cedo.