Atacantes podem assumir o controle de servidores PHP sem fazer login?

Atacantes poderiam assumir o controle de servidores que executam a linguagem de programação PHP sem fazer login, segundo pesquisadores de segurança da Wiz Research, que revelaram um conjunto de falhas críticas no código em 21 de outubro. Quase todas as versões do PHP são afetadas, incluindo lançamentos desde o PHP 5.4. A linguagem alimenta cerca de 70% dos sites, incluindo aqueles construídos com WordPress, Drupal e Joomla.

A empresa afirma que as vulnerabilidades também podem permitir que atacantes leiam dados sensíveis da memória de um servidor, incluindo senhas, tokens de autenticação, chaves de API e certificados pertencentes a outros usuários ou ao próprio servidor. As falhas estão no motor central do PHP, por isso podem afetar um site mesmo quando o código de sua própria aplicação é seguro.

A Wiz acompanhou os problemas sob dois CVEs, CVE-2026-109618 e CVE-2026-109619, com gravidade atingindo uma pontuação CVSS de 9,2. Os bugs em si não são novos. A Wiz diz que eles estavam presentes na base de código do PHP por mais de uma década, mas transformá-los em ataques funcionais exigiu encadear várias falhas e ajustar cada ataque ao layout de memória de um alvo específico. Esse trabalho era lento e especializado.

Como a IA ajudou pesquisadores a encontrar as falhas no PHP?

A Wiz afirma que a IA mudou esse cálculo. A empresa usou o Wiz Atlas, o Gemini 4 Argon do Google e o GPT-5.6 Sol da OpenAI ao longo da pesquisa. A Wiz atribui ao Gemini 4 Argon uma contribuição importante para encontrar as vulnerabilidades, desenvolver o exploit, detectar ataques e validar a correção. Os modelos ajudaram a adaptar o exploit a diferentes versões e configurações do PHP, além de analisar testes que falharam e ajustar o código para corrigi-los. A Wiz disse que sua equipe construiu exploits funcionais em múltiplas aplicações em questão de horas.

A empresa combinou as falhas em um único script de exploração que chama de php2shell. A Wiz afirmou que o script poderia executar código remotamente em instalações padrão de WordPress, Drupal e Joomla, usando suas imagens de contêiner mais recentes no momento dos testes. Essas plataformas servem como demonstração, disse a empresa. Uma aplicação simples de “Hello World” executada em uma versão afetada do PHP também poderia ser vulnerável.

A Wiz descreveu os bugs como problemas de segurança de memória relacionados à forma como o PHP trata erros fatais durante o processamento de requisições, especialmente erros de falta de memória. Quando uma requisição termina de forma inesperada, o motor pode deixar para trás um estado interno corrompido. Uma requisição posterior tratada pelo mesmo processo pode reutilizar esse estado obsoleto, o que pode vazar ou corromper memória. Em um caso, segundo a Wiz, um atacante poderia ler dados de fora de sua própria requisição. Em outro, a equipe construiu um caminho para execução remota de código contra o Drupal.

A linha do tempo da divulgação da Wiz começou em 19 de agosto, quando a equipe encontrou pela primeira vez uma vulnerabilidade no PHP usando suas ferramentas de IA. A execução de código não autenticada foi confirmada contra o Drupal em 20 de agosto e contra o WordPress em 21 de agosto. A Wiz reportou as falhas à equipe de segurança do PHP em 24 de agosto. O PHP reconheceu os relatórios e começou a desenvolver uma correção em 21 de setembro. As versões corrigidas foram disponibilizadas em 21 de outubro, no mesmo dia em que as descobertas se tornaram públicas.

A empresa disse que as quatro falhas que relatou são apenas parte do problema. Outras variantes do mesmo padrão provavelmente existem, algumas delas sem registro, e a correção foi feita para resolver o problema de fundo e eliminar essas variantes na versão corrigida. A Wiz também creditou a OpenAI, a organização sem fins lucrativos Calif e a equipe do PHP pelo trabalho de descoberta, coordenação e verificação da correção. Empresas de nuvem e hospedagem, incluindo Cloudflare, AWS, Microsoft, Google Cloud, Akamai, Fastly e Vercel, ajudaram a preparar orientações e mitigações para clientes que não podem aplicar a atualização imediatamente.

Raluca Ada Popa, chefe de Segurança do Gemini no Google DeepMind, disse que a empresa ficou satisfeita em ver o modelo ajudar defensores a fechar uma lacuna que existia há anos. “Por mais de uma década, essas vulnerabilidades críticas permaneceram sem solução porque a descoberta e a exploração de vulnerabilidades eram extremamente complexas”, disse Popa. “Ficamos satisfeitos em ver o Gemini 4 Argon ajudar defensores a superar essa lacuna, encontrando vulnerabilidades e ajudando a corrigi-las.”

Como administradores podem detectar tentativas de exploração do PHP?

Como os ataques são executados abaixo da camada da aplicação, os logs das aplicações podem mostrar pouco. A Wiz aconselha administradores a observar requisições multipart incomuns seguidas de erros de limite de memória, respostas HTTP 500 repetidas, cookies PHPSESSID excessivamente grandes ou malformados e rotatividade inexplicada de processos workers do PHP. A Wiz diz que aplicar a atualização de segurança do PHP é a única correção completa.

Dieser Artikel wurde mit Unterstützung von KI verfasst.
News Factory APP - agentische News für besseres SEO & AEO.