Ontem, todo mundo estava falando das vulnerabilidades do PHP, deixando as pessoas alarmadas. Dei uma olhada e tentei entender melhor.
PHP é uma linguagem de programação muito comum para o back-end de sites. Muitos sites a utilizam, incluindo WordPress, Magento e outros.
As duas vulnerabilidades graves divulgadas desta vez receberam nota 9,2 no CVSS. Em termos simples, em determinadas condições, um invasor pode até executar código remotamente sem precisar fazer login, atacando diretamente o servidor do site. Em casos graves, pode roubar o banco de dados e credenciais de contas, ou até assumir o controle de todo o servidor.
━━━━━━━━━━━━
Uma coisa absurda que aconteceu ontem foi que a divulgação oficial dessas duas vulnerabilidades estava prevista para 22 de outubro, dando tempo para as equipes de desenvolvimento corrigirem os problemas.
Só que, em 20 de outubro, um espertinho publicou informações sobre as vulnerabilidades antes da hora no Hacker News.
Logo depois, aconteceu outro fiasco:
A equipe de segurança Calif, que participou da pesquisa sobre as vulnerabilidades, publicou antes da hora um vídeo demonstrando um ataque de prova de conceito (PoC). Embora o vídeo tenha sido removido rapidamente, ele já começou a circular pela internet. (O vídeo está abaixo.)
As vulnerabilidades ainda estavam sendo corrigidas em coordenação com as equipes responsáveis, mas a demonstração do ataque já havia sido divulgada. A equipe oficial do PHP só pôde antecipar a publicação do patch para 21 de outubro.
Além disso, a equipe de segurança já relatou tentativas reais de exploração das vulnerabilidades. Algumas instituições governamentais e sites chegaram a sair do ar temporariamente para priorizar a investigação e a correção dos problemas.
━━━━━━━━━━━━
Como isso nos afeta?
Se os sites que você costuma usar tiverem vulnerabilidades no back-end e elas não forem corrigidas a tempo, uma invasão poderá alterar as páginas, inserir conteúdo de phishing ou até transformá-las em uma porta de entrada para roubar credenciais de contas.
Usuários de cripto, em especial: nos próximos dias, ao acessar corretoras, carteiras e sites de airdrop, procurem entrar sempre pelos canais oficiais. Não cliquem em links desconhecidos nem assinem nada sem pensar!! Dizem que a situação pode ficar muito grave nos próximos dois dias.
Essa vulnerabilidade existe há anos, mas a pesquisa com auxílio de IA reduziu a barreira para descobri-la e desenvolver formas de explorá-la.
Quando uma vulnerabilidade é divulgada, os invasores podem agir rapidamente, enquanto leva tempo para que a enorme quantidade de sites do mundo todo aplique as correções.
Em outras palavras, a velocidade de correção das vulnerabilidades está numa corrida contra a velocidade de propagação das técnicas de ataque.
PHP é uma linguagem de programação muito comum para o back-end de sites. Muitos sites a utilizam, incluindo WordPress, Magento e outros.
As duas vulnerabilidades graves divulgadas desta vez receberam nota 9,2 no CVSS. Em termos simples, em determinadas condições, um invasor pode até executar código remotamente sem precisar fazer login, atacando diretamente o servidor do site. Em casos graves, pode roubar o banco de dados e credenciais de contas, ou até assumir o controle de todo o servidor.
━━━━━━━━━━━━
Uma coisa absurda que aconteceu ontem foi que a divulgação oficial dessas duas vulnerabilidades estava prevista para 22 de outubro, dando tempo para as equipes de desenvolvimento corrigirem os problemas.
Só que, em 20 de outubro, um espertinho publicou informações sobre as vulnerabilidades antes da hora no Hacker News.
Logo depois, aconteceu outro fiasco:
A equipe de segurança Calif, que participou da pesquisa sobre as vulnerabilidades, publicou antes da hora um vídeo demonstrando um ataque de prova de conceito (PoC). Embora o vídeo tenha sido removido rapidamente, ele já começou a circular pela internet. (O vídeo está abaixo.)
As vulnerabilidades ainda estavam sendo corrigidas em coordenação com as equipes responsáveis, mas a demonstração do ataque já havia sido divulgada. A equipe oficial do PHP só pôde antecipar a publicação do patch para 21 de outubro.
Além disso, a equipe de segurança já relatou tentativas reais de exploração das vulnerabilidades. Algumas instituições governamentais e sites chegaram a sair do ar temporariamente para priorizar a investigação e a correção dos problemas.
━━━━━━━━━━━━
Como isso nos afeta?
Se os sites que você costuma usar tiverem vulnerabilidades no back-end e elas não forem corrigidas a tempo, uma invasão poderá alterar as páginas, inserir conteúdo de phishing ou até transformá-las em uma porta de entrada para roubar credenciais de contas.
Usuários de cripto, em especial: nos próximos dias, ao acessar corretoras, carteiras e sites de airdrop, procurem entrar sempre pelos canais oficiais. Não cliquem em links desconhecidos nem assinem nada sem pensar!! Dizem que a situação pode ficar muito grave nos próximos dois dias.
Essa vulnerabilidade existe há anos, mas a pesquisa com auxílio de IA reduziu a barreira para descobri-la e desenvolver formas de explorá-la.
Quando uma vulnerabilidade é divulgada, os invasores podem agir rapidamente, enquanto leva tempo para que a enorme quantidade de sites do mundo todo aplique as correções.
Em outras palavras, a velocidade de correção das vulnerabilidades está numa corrida contra a velocidade de propagação das técnicas de ataque.