A Fundação PHP confirmou que os primeiros sinais das vulnerabilidades que levaram à retirada preventiva de sites do ar em vários países surgiram em 2024. A correção foi interrompida e retomada diversas vezes, em meio à falta de recursos e a dificuldades nas decisões da equipe de segurança.
As falhas podem permitir que invasores assumam o controle de servidores sem login ou senha. Uma atualização de segurança já está disponível, enquanto órgãos públicos e empresas adotaram medidas preventivas para reduzir o risco de ataques.
Por que a correção demorou?
O problema foi identificado durante uma auditoria externa realizada em 2024 pela Quarkslab, empresa francesa de cibersegurança. Segundo a Fundação PHP, o trabalho para corrigir as vulnerabilidades se arrastou por meses e enfrentou três obstáculos:
Falta de um método conhecido de exploração: na época, não era conhecida uma forma de usar a falha para executar comandos remotamente.
Dificuldades nas decisões: a equipe de segurança enfrentou entraves para definir como avançar com a correção.
Sobrecarga de especialistas: poucos desenvolvedores tinham conhecimento aprofundado do funcionamento interno do PHP.
A fundação também reconheceu que a segurança da linguagem depende de um grupo reduzido de desenvolvedores financiados por fundações e de colaboradores voluntários.
A limitação de recursos preocupa especialmente pela presença do PHP na internet.
