O órgão responsável pela melhoria da postura dos governos com relação à segurança cibernética, MS-ISAC (Multi-State Information Sharing & Analysis Center), publicou no último dia 27 de setembro, de 2019, um aviso sobre uma vulnerabilidade presente no PHP. Através dela, um invasor pode explorar e controlar um sistema afetado.

O PHP é uma linguagem de programação voltada, originalmente, para o uso em aplicações com conteúdo HTML, baseadas em WEB. Uma vez que possa oferecer suporte a uma grande variedade de plataformas, a exploração bem sucedida dessa brecha pode permitir que o atacante injete um código arbitrário nessa aplicação e assuma o controle daquele ambiente. A depender do nível de privilégios associados àquele programa, o invasor pode, então, instalar novos arquivos, manipular os dados ali presentes ou criar novas contas. Uma exploração mal sucedida, por sua vez, por ter como resultado uma negação de serviço.

O próprio PHP tem uma propensão à vulnerabilidade de buffer overflow devido à sua falha para verificar os dados fornecidos antes de copiá-los para um espaço de armazenamento de tamanho insuficiente. Os riscos para organizações de negócios ou governamentais são altos, enquanto para usuários domésticos a probabilidade se mantém baixa.

O CIS, Center for Internet Security, recomenda as seguintes ações:

• Atualize para a versão mais recente do PHP imediatamente, após o teste apropriado.
• Verifique se não ocorreram modificações não autorizadas no sistema antes de aplicar o patch de atualização.
• Aplique o princípio do Menor Privilégio a todos os sistemas e serviços.
• Lembre os usuários de não visitar sites ou seguir links fornecidos por fontes desconhecidas ou não confiáveis.

Maiores informações também estão disponíveis no próprio portal da CIS.