CISA ordena correção de falhas críticas no PHP em 3 dias para órgãos federais dos EUA

A agência de cibersegurança dos Estados Unidos, a CISA, emitiu uma ordem para que todos os órgãos do governo federal corrijam vulnerabilidades críticas no PHP em um prazo de até três dias. O alerta urgente foi divulgado menos de uma semana após os mantenedores do PHP liberarem os patches para as duas falhas de segurança.

As vulnerabilidades, conhecidas como PHP2Shell, permitem que um invasor assuma o controle remoto de um servidor vulnerável pela internet sem a necessidade de autenticação. A gravidade da situação já levou governos e grandes empresas a suspenderem seus sites para aplicar as correções, mesmo antes da confirmação de exploração ativa.

O que são as falhas PHP2Shell e por que são perigosas?

As falhas PHP2Shell foram descobertas há dois anos, mas inicialmente consideradas de baixa explorabilidade pela fundação que mantém o PHP. No entanto, o cenário mudou com o avanço das inteligências artificiais (IA), que tornaram a exploração dessas brechas mais viável e eficaz.

Um invasor que explore essas falhas pode obter controle total de um servidor, permitindo a execução de comandos maliciosos, roubo de dados ou interrupção de serviços. A ausência de necessidade de senha para a exploração aumenta significativamente o risco.

Impacto global e no Brasil

O PHP é a tecnologia que impulsiona cerca de 70% dos servidores web. No Brasil, sua presença é vasta, abrangendo plataformas populares como o WordPress, frameworks de desenvolvimento como Laravel e Symfony, além de sistemas legados em bancos, no varejo e no setor público. Painéis administrativos e outras aplicações que utilizam PHP também estão sob risco.

A ordem da CISA, embora direcionada a agências federais dos EUA, tem um efeito prático global. Uma falha crítica em um software tão difundido representa um risco iminente para qualquer organização que utilize essa tecnologia, seja em infraestrutura própria ou em serviços de hospedagem terceirizados.

Próximos passos e recomendações

A CISA exige que as correções sejam aplicadas em até três dias, um prazo extremamente curto que reflete a urgência da situação. A recomendação para todas as organizações que utilizam PHP é aplicar os patches de segurança o mais rápido possível para mitigar o risco de ataques.

A falta de detalhamento sobre quem está por trás dos ataques não diminui a necessidade de ação imediata. Pesquisadores de segurança independentes já relataram evidências de exploração ativa das falhas, o que aumenta a pressão para que as correções sejam implementadas em larga escala.