PHP2Shell: PHP lança correção de emergência para falhas críticas
O PHP publicou correções de emergência para duas falhas críticas que permitem execução remota de código sem login. Veja como checar sua versão, quem deve atualizar e o que fazer se o patch precisar esperar.
Se o site, a loja virtual ou o sistema interno da sua empresa roda em PHP, esta notícia é para você. Segundo o The Hacker News, o projeto PHP lançou atualizações de emergência para duas falhas críticas, conhecidas em conjunto como PHP2Shell. Elas permitem que alguém sem conta nenhuma execute código no servidor web. O título da matéria original também menciona que já surgiram tentativas de exploração, mas a parte do texto a que tivemos acesso não detalha esses ataques.
Por que este caso é diferente
O ponto central é onde está o problema. De acordo com a fonte, as falhas estão no próprio PHP, e não em um aplicativo específico. Na prática, isso significa que não basta ter um WordPress, um sistema de pedidos ou um plugin atualizado: se o motor por baixo está vulnerável, o servidor pode estar exposto. Também por isso a checagem é do ambiente, e não só do software que você instalou em cima dele.
Quais versões trazem a correção
As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A equipe do PHP afirma, segundo o The Hacker News, que somente atualizar protege o servidor por completo. A fonte que consultamos não informa o que acontece com versões mais antigas que a 8.2, nem lista medidas paliativas. Por isso, não vale presumir que uma versão antiga esteja segura ou que exista um contorno confiável.
Primeiro, descubra qual versão do PHP você usa. Se a hospedagem é de terceiros, o painel do provedor costuma mostrar isso; se o servidor é seu, o administrador consegue confirmar. Compare o resultado com as quatro versões acima: se você está numa dessas linhas (8.2 a 8.5) e abaixo do número corrigido, a atualização é prioridade.
Segundo, pergunte a quem cuida da infraestrutura quem aplica o patch. Em hospedagem compartilhada ou gerenciada, geralmente é o provedor, e vale pedir confirmação por escrito de que a versão corrigida está ativa. Em servidor próprio ou VPS, a responsabilidade costuma ser sua ou da sua agência.
Terceiro, se não for possível atualizar hoje, trate a situação como risco aberto, e não como problema resolvido. A fonte não descreve alternativa que substitua o patch, então o caminho prudente é agendar a atualização o mais rápido possível, testar antes em ambiente separado, se houver, e manter backups recentes e fora do servidor. Ainda vale observar sinais incomuns, como arquivos que você não reconhece ou picos estranhos de uso, e avisar o responsável técnico imediatamente se aparecerem. Se houver dados pessoais de clientes no servidor, um incidente pode ter implicações de LGPD, então envolva quem cuida de conformidade desde cedo.
Em resumo
O PHP2Shell afeta a base de muitos sites, e a única proteção completa indicada é atualizar. Descubra sua versão, cobre o provedor e marque a data da atualização ainda esta semana.
Fontes
Continue lendo
Anatel manda bloquear SMS sem cadastro: o que sua empresa faz
A Anatel determinou que operadoras bloqueiem SMS corporativos de remetentes sem cadastro. Empresas que enviam avisos, cobranças ou códigos por SMS precisam checar se estão no novo diretório antes do fim do prazo de 90 dias.
CibersegurançaVazamento no FGC: o que empresas devem revisar na LGPD
O FGC admitiu acesso indevido a nomes, CPFs e e-mails de investidores. O caso serve de roteiro para pequenas empresas revisarem acessos, fornecedores e o preparo para comunicar um incidente à ANPD.