Na manhã de hoje, meu Twitter foi inundado, de repente, com notícias sobre PHP.
A PHP Foundation escreve sobre a correção de duas vulnerabilidades críticas no núcleo, ambas com uma pontuação de 9.2 de 10 no CVSS 4, o que é bastante alto. Ambas as vulnerabilidades permitem a execução de código arbitrário no servidor - uma devido a um erro de estouro, e a outra porque o núcleo pode apontar para uma área de memória onde não deveria. Hoje, às 14:00 UTC, será publicado o lançamento com as correções, e a equipe do PHP pede encarecidamente que todos atualizem imediatamente após isso.
Para entender a magnitude do problema, é preciso compreender que uma enorme parte do backend na internet atualmente roda em PHP. Uma grande porcentagem está em versões antigas, e um número enorme de serviços não será atualizado hoje, o que significa que, potencialmente, um enxame de agentes executará código arbitrário ali e, na melhor das hipóteses, excluirá o banco de dados ou vazará dados. Na pior das hipóteses, roubará dinheiro ou desligará algum equipamento que se conecta a esse backend.
A Reuters relata que a agência de cibersegurança holandesa desligou seus serviços como medida de precaução, e vários sites na Holanda já fizeram o mesmo, incluindo sites de alguns hospitais. A empresa municipal dinamarquesa Kombit também está desligando seus serviços, e na Finlândia as interrupções são ainda maiores - os sites das autoridades foram desativados até a liberação da correção.
Para você ter uma ideia, atualmente o PHP é usado em sites como Wikipedia, Etsy, Fandom e milhões de sites em WordPress e outras plataformas. Eu mesmo, há cerca de 5-7 anos, desenvolvi aplicações em Symfony com milhões de usuários e sistema de cobrança.
É curioso, claro, que ambas as vulnerabilidades foram descobertas com a ajuda de agentes, e muito provavelmente serão exploradas também com a ajuda de agentes, sobre o que ouviremos em breve.
Se sua empresa tem projetos em PHP, e spoiler - em uma enorme quantidade de big techs da CEI e, em particular, no setor de fintech, especialmente os mais antigos, existem monolitos antigos em PHP - informe seus responsáveis pela segurança que eles precisam atualizar.