Falha de PHP em Windows pode afetar milhares de servidores na internet

Uma nova falha grave de segurança foi descoberta na versão do PHP para Windows, que afeta todas as instalações desde o PHP 5.x. Esta falha possui o potencial de afetar um largo número de sistemas Windows onde o PHP se encontre instalado.

O PHP é uma linguagem de programação bastante usada na internet, tanto em ambiente Linux como Windows, e focada para a criação de sites e aplicações web.

A falha em questão, CVE-2024-4577, foi reportada no dia 7 de Maio de 2024 pelo investigador Orange Tsai, que reportou a mesma à equipa de desenvolvimento do PHP. A correção para a falha foi disponibilizada durante o dia de ontem, sendo recomendado que todas as instalações sejam atualizadas o mais rapidamente possível.

A falha pode permitir que sejam enviados comandos remotos para sistemas onde as versões de PHP vulneráveis se encontrem. Com isto, estes sistemas podem ficar abertos para possíveis ataques, e eventualmente, podem acabar por ser usados para comprometer dados sensíveis.

Como a falha foi agora conhecida publicamente, existem já bots que se encontram a identificar sistemas vulneráveis para tentar explorar a mesma. Caso seja explorada, a falha pode permitir que código aleatório seja executado nos sistemas remotos, através de pedidos especialmente criados para explorar a falha.

Esta falha pode afetar praticamente todas as instalações do PHP em ambientes Windows, mas possui particular impacto em sistemas que se encontrem em modo CGI. Tendo em conta que este é o modo padrão do XAMPP, um dos mais populares ambientes de produção, é possível que o ataque seja voltado diretamente contra o mesmo.

Recomenda-se que as instalações do PHP sejam atualizadas o mais rapidamente possível em todas as arquiteturas Windows. De notar que a correção apenas será fornecida para versões mais recentes do PHP, e não para as que já se encontram em EoL.