MADRID 27 out. (Portaltic/EP) -
Duas vulnerabilidades no PHP, a linguagem de programação de código aberto mais utilizada em servidores que hospedam sites e aplicativos em todo o mundo, colocaram toda a internet em alerta na última quarta-feira, devido ao seu alcance (estima-se que seja utilizada em cerca de 70% dos sites) e ao risco de exploração.
A ameaça representada pelas duas vulnerabilidades, conhecidas como PHP2Shell, não é insignificante; elas permitem que um agente mal-intencionado execute seu próprio código nos servidores afetados, para assumir o controle e alterar sites de forma maliciosa ou roubar dados.
Para o responsável pelas Comunidades de Língua Espanhola e Crescimento na Automattic, empresa por trás do WordPress.com, Moncho Padrón, a resposta foi “proporcional”, já que, conforme explicou em declarações à Europa Press, “uma vulnerabilidade que permite assumir o controle de um servidor sem credenciais, em uma tecnologia tão difundida, é um assunto sério”.
O risco residia, principalmente, no fato de que as informações sobre as vulnerabilidades e a publicação do patch não seguiram o mesmo ritmo, apesar de ambas terem sido tornadas públicas oficialmente no mesmo dia. “As informações sobre as vulnerabilidades vazaram antes da divulgação coordenada”, observou Padrón.
Isso deu origem a tentativas de exploração e testes de conceito, inclusive alguns dias antes do término do embargo informativo, embora, como esclareceu o responsável pelas comunidades de língua espanhola e pelo crescimento na Automattic, “isso não signifique que haja exploits confirmados e funcionais, mas demonstra a rapidez com que os invasores começam a sondar.
“Antes, podiam se passar dias ou semanas entre a divulgação de uma vulnerabilidade e sua exploração em massa. Hoje, com a IA tornando esse processo mais rápido e barato, esse intervalo está cada vez mais curto”, acrescentou.
Padrón também esclareceu que o PHP2Shell “não afeta apenas versões obsoletas” do PHP, mas que as vulnerabilidades se estendem “a uma ampla gama de versões e configurações”. “A diferença é que as versões com suporte já têm patches disponíveis, enquanto as antigas não”, destacou.
“O IMPACTO NÃO FOI O MESMO PARA TODOS”
Por se tratar de vulnerabilidades presentes na linguagem do servidor, a atualização dependia da rapidez com que os desenvolvedores que administram seus próprios servidores e os provedores de hospedagem agissem.
A comunidade WordPress é uma das maiores do mundo, já que, como projeto de código aberto, sustenta mais de 40% da web. Diante do problema do PHP2Shell, Padrón confirmou que “a Automattic trabalhou com a equipe de segurança do PHP para que todos os sites hospedados em suas plataformas, incluindo WordPress.com, WordPress VIP, Pressable e Tumblr, ficassem protegidos o mais rápido possível”.
No entanto, no que diz respeito aos sites criados com o WordPress, ele esclareceu que “cada site funciona na infraestrutura de seu provedor de hospedagem” e, por isso, “o impacto não foi o mesmo para todos”.
“O verdadeiro desafio está nos servidores que ninguém mantém ativamente ou que continuam funcionando com versões antigas. Segundo o WordPress.org, mais de um terço dos sites WordPress funcionam com versões do PHP que já não têm suporte oficial”, observou.
“TODO SOFTWARE TEM VULNERABILIDADES”
Quando questionado se a internet é construída com linguagens e arquiteturas que colocam os dados em risco, Padrón não acredita que “a internet seja construída sobre alicerces frágeis” e lembra que “todo software tem vulnerabilidades, inclusive o proprietário”.
“A vantagem do código aberto [como o PHP] é que as vulnerabilidades podem ser detectadas, coordenadas e corrigidas de forma transparente, que é exatamente o que aconteceu aqui”, acrescentou ele, para, em seguida, concluir que “o risco real não está na linguagem de programação, mas em como mantemos o que construímos”.
Esta notícia foi traduzida por um tradutor automático