Sete em cada dez ambientes PHP em funcionamento à escala global operam com versões descontinuadas e sem assistência técnica oficial. O alerta surge numa análise detalhada da Qualys focada no conjunto de vulnerabilidades críticas batizado de PHP2Shell. As falhas concedem a intervenientes maliciosos a possibilidade de executar instruções arbitrárias à distância sem necessidade de autenticação prévia, abrindo caminho para a extração de palavras-passe, chaves de API e certificados confidenciais.
O estudo da empresa de cibersegurança baseou-se numa amostra anónima recolhida junto de dez mil clientes, abrangendo 167 milhões de pacotes distribuídos por diferentes plataformas de alojamento. Entre as 156 milhões de instâncias com versão identificada, 110 milhões funcionam com lançamentos antigos que já não recebem manutenção. Apenas 44 milhões de sistemas utilizavam edições com suporte ativo da equipa do PHP, dispondo assim das respetivas atualizações.
Exposição direta e lentidão na aplicação de patches
Identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, as duas falhas atingem uma classificação de 9,2 pontos na escala CVSS. Este valor espelha um perigo extremo. Com a execução não autorizada de comandos à distância, invasores conseguem assumir o controlo do sistema operativo subjacente e desviar elementos essenciais à segurança corporativa.
O problema ganha maior dimensão devido à visibilidade externa dos servidores: 73% das instalações analisadas encontram-se expostas diretamente à Internet. Apesar da publicação célere dos pacotes corrigidos para as edições mantidas, a adesão revelou-se mínima no primeiro dia seguinte ao anúncio. Nesse intervalo inicial de 24 horas, somente 581.000 instâncias (0,37% da amostra total) haviam recebido as devidas correções.
Sergio Pedroche, responsável da Qualys para a Península Ibérica, sublinhou que uma fatia expressiva destas implementações nunca terá acesso a correções oficiais. O responsável salientou que intervir em plataformas vitais para o negócio pode provocar períodos de paragem, tornando indispensável recorrer a medidas de isolamento para conter o perigo enquanto as equipas desenham uma migração definitiva.
Roteiro em quatro fases para defender a infraestrutura
Para responder à ameaça, a Qualys detalhou uma metodologia estruturada em quatro fases:
Inventário exaustivo: Mapear todas as instâncias em execução, englobando máquinas virtuais, servidores dedicados, contentores, clusters de Kubernetes e serviços serverless. Convém verificar detalhadamente as versões ativas e cruzá-las com os boletins oficiais.
Avaliação de vetores reais: Focar a atenção nos recursos expostos à rede pública e a implementações antigas sustentadas em Apache mod_php. Realizar ensaios técnicos em aplicações web e interfaces de programação para validar se o canal de ataque está realmente alcançável a partir do exterior.
Contenção e atualização: Instalar as versões corrigidas nos sistemas suportados e reiniciar de imediato os processos dependentes. Nas plataformas obsoletas que já não recebem manutenção, restringir as vias de comunicação de rede ou isolar o tráfego até ser viável migrar ou desativar a aplicação.
Verificação pós-intervenção: Repetir os exames de segurança para certificar que os serviços arrancaram com a versão revista e que a rota vulnerável foi eliminada, mantendo uma lista atualizada das máquinas que ainda aguardam migração.
Nenhum comentário
Seja o primeiro!