Governo dos EUA diz que hackers agora estão explorando bugs críticos da web em PHP

A agência de segurança cibernética dos EUA, CISA, confirmou que os hackers estão agora explorando ativamente um par de vulnerabilidades críticas de segurança no software web PHP amplamente utilizado e ordenou que agências federais civis do governo dos EUA consertem seus sistemas nos próximos três dias.

O novo aviso urgente para correção ocorre menos de uma semana depois que os criadores da linguagem de programação web PHP, com décadas de existência, lançaram correções para os dois bugs, que permitem que hackers invadam remotamente um sistema vulnerável pela Internet sem a necessidade de senhas. O software PHP é supostamente usado por cerca de 70% dos servidores voltados para a web, colocando em risco os principais sites e aplicativos. A gravidade dos bugs levou alguns governos e grandes empresas a colocarem seus sites offline para corrigi-los.

Embora os bugs sejam classificados como críticos, o que significa que podem ser altamente prejudiciais se explorados, os pesquisadores de segurança disseram que desenvolver uma exploração funcional para invadir sistemas vulneráveis ​​foi inicialmente desafiador – mas não impossível. A exploração in-the-wild confirmada agora coloca pressão extra sobre as organizações para que corrijam seus sistemas para evitar comprometimentos maliciosos, interrupções e violações de dados.

A CISA não forneceu detalhes sobre quem estava explorando os bugs em sua declaração de segunda-feiramas sua declaração vem logo depois que pesquisadores de segurança disseram ter encontrado evidência de que os bugs do PHP estavam sendo explorados.

Os bugs, conhecidos como PHP2Shell, exploram vulnerabilidades no software que não foram descobertas durante anos. Os bugs foram descobertos inicialmente há dois anos, mas a fundação sem fins lucrativos que mantém o software disse que não havia nenhuma maneira prática para os hackers explorá-los, deixando os bugs sem correção. Isso foi até o início deste ano, quando pesquisadores da empresa de pesquisa de segurança Califórnia descobriram uma maneira de explorar as duas vulnerabilidades latentes com a ajuda de um modelo de IA.

Os dois bugs no PHP estão entre inúmeras vulnerabilidades que ainda não foram descobertas ou que foram despriorizadas durante anos, mas que agora representam um risco devido aos avanços na capacidade dos modelos de IA de encontrar e explorar vulnerabilidades, inclusive encadeando múltiplas falhas.

PHP é uma das muitas tecnologias web antigas que ajudam a manter a Internet e as tecnologias modernas funcionando, mas que têm sido subfinanciados e com poucos recursos há anosdificultando que projetos de código aberto como PHP paguem por análises de segurança que possam ter descoberto falhas mais cedo.