Mensagens anteriores

Uma nova falha grave de segurança foi descoberta na versão do PHP para Windows, que afeta todas as instalações desde o PHP 5.x. Esta falha possui o potencial de afetar um largo número de sistemas Windows onde o PHP se encontre instalado.

O PHP é uma linguagem de programação bastante usada na internet, tanto em ambiente Linux como Windows, e focada para a criação de sites e aplicações web.

A falha em questão, CVE-2024-4577, foi reportada no dia 7 de Maio de 2024 pelo investigador Orange Tsai, que reportou a mesma à equipa de desenvolvimento do PHP. A correção para a falha foi disponibilizada durante o dia de ontem, sendo recomendado que todas as instalações sejam atualizadas o mais rapidamente possível.

A falha pode permitir que sejam enviados comandos remotos para sistemas onde as versões de PHP vulneráveis se encontrem. Com isto, estes sistemas podem ficar abertos para possíveis ataques, e eventualmente, podem acabar por ser usados para comprometer dados sensíveis.

Como a falha foi agora conhecida publicamente, existem já bots que se encontram a identificar sistemas vulneráveis para tentar explorar a mesma. Caso seja explorada, a falha pode permitir que código aleatório seja executado nos sistemas remotos, através de pedidos especialmente criados para explorar a falha.

Esta falha pode afetar praticamente todas as instalações do PHP em ambientes Windows, mas possui particular impacto em sistemas que se encontrem em modo CGI. Tendo em conta que este é o modo padrão do XAMPP, um dos mais populares ambientes de produção, é possível que o ataque seja voltado diretamente contra o mesmo.

Recomenda-se que as instalações do PHP sejam atualizadas o mais rapidamente possível em todas as arquiteturas Windows. De notar que a correção apenas será fornecida para versões mais recentes do PHP, e não para as que já se encontram em EoL.