Imagem para ajudar a entender a matéria
Falhas permitem executar códigos maliciosos sem autenticação
O governo da Coreia do Sul elevou no dia 22 o alerta de crise cibernética para o setor privado, passando do nível de “interesse” para o de “atenção”, em resposta a ataques que exploram duas vulnerabilidades críticas no PHP, tecnologia amplamente utilizada em servidores de sites.
O Ministério da Ciência e das Tecnologias da Informação e Comunicação e a Agência de Internet e Segurança da Coreia (KISA, na sigla em inglês) também ativaram um sistema de resposta emergencial. As orientações urgentes foram enviadas a cerca de 28 mil empresas obrigadas a registrar responsáveis pela segurança da informação e a aproximadamente 5.900 integrantes do sistema de compartilhamento de dados sobre ameaças cibernéticas.
Conhecidas em conjunto como “PHPtoShell”, as falhas CVE-2026-109618 e CVE-2026-109619 estão relacionadas ao gerenciamento de memória do PHP. Elas podem permitir que invasores executem códigos maliciosos em servidores sem autenticação. A classificação de risco é de 9,2 em uma escala de dez pontos.
Tentativas de exploração começaram antes da correção
A equipe de inteligência de ameaças da Amazon informou ter identificado tentativas de exploração no dia 17, quatro dias antes de a equipe responsável pelo PHP distribuir as correções. Nas primeiras 24 horas após a divulgação das vulnerabilidades, a empresa de segurança Imperva registrou 482.342 requisições relacionadas e 122.311 sessões de ataque em ambientes protegidos por seus serviços.
As atividades atingiram 21.998 sites em 103 países, mas os números não representam necessariamente invasões bem-sucedidas. A Palo Alto Networks estima que existam cerca de 22 milhões de instalações de PHP expostas à internet no mundo, embora ressalte que nem todas sejam vulneráveis.
Empresas oferecem ferramentas gratuitas de verificação
Companhias sul-coreanas de segurança digital passaram a oferecer recursos gratuitos para ajudar organizações a identificar sistemas expostos. A Theori publicou orientações e um script de verificação de configurações após reproduzir o ataque. A empresa advertiu que medidas provisórias podem afetar funcionalidades e não bloqueiam completamente a exploração, tornando necessária a instalação da correção oficial.
A NKWhiteHat lançou um scanner para examinar a versão e as configurações do PHP. Segundo o presidente da empresa, Lee Seong-kwon, vulnerabilidades de grande impacto exigem que as organizações aproveitem a “janela de ouro” para localizar e corrigir ativos expostos antes dos criminosos.
A Piolink abriu uma página na qual o usuário informa o endereço de um site para verificar a versão do PHP e a necessidade de atualização. Quando o servidor oculta essa informação, o resultado aparece como inconclusivo e o responsável é orientado a realizar uma análise direta. A Stealien também disponibilizou um serviço de inspeção on-line, enquanto a AhnLab apresentou métodos para detectar comandos anormais, criação de webshells e alterações em arquivos.
As verificações externas, porém, têm limitações. Se a versão do PHP estiver oculta, pode ser difícil determinar a exposição. Mesmo um resultado aparentemente normal não permite avaliar configurações internas nem descobrir se o servidor já foi comprometido.
Atualização deve ser seguida de reinicialização e auditoria
A KISA recomendou instalar a versão de segurança mais recente do PHP e reiniciar o serviço web. Sem a reinicialização, programas carregados antes da atualização podem permanecer na memória e continuar vulneráveis.
A agência também orientou a análise dos registros de acesso desde pelo menos 20 de outubro — e, se possível, de períodos anteriores. Após a correção, os administradores devem procurar webshells instalados e trocar credenciais importantes, como senhas de bancos de dados e tokens de autenticação.
A Comissão de Proteção de Informações Pessoais alertou especialmente para ferramentas de administração de bancos de dados baseadas em PHP, como o phpMyAdmin, quando expostas à internet ou configuradas com permissões excessivas. O órgão recomendou restringir o acesso externo e investigar consultas ou exportações incomuns de grandes volumes de dados pessoais.
Yang Cheong-sam, secretário-geral da comissão, afirmou que as falhas podem causar danos além da invasão de páginas, incluindo o vazamento em grande escala de informações pessoais armazenadas nos bancos de dados conectados aos sites.
Resposta de órgãos públicos é questionada
Durante uma auditoria parlamentar realizada no dia 23, o deputado Han Jun-ho criticou a falta de informações suficientes sobre quais órgãos públicos mantêm sistemas vulneráveis e quais já concluíram as atualizações, apesar do alerta emergencial.
Lee Sang-jung, presidente da KISA, respondeu que a responsabilidade operacional é dividida entre diferentes instituições, o que impõe limitações legais e administrativas à inspeção direta de cada sistema pela agência. O parlamentar pediu que o andamento das medidas posteriores seja encaminhado ao seu gabinete.
Comentários
Postar um comentário