O setor de segurança web vive um estado de alerta intenso após a descoberta de duas vulnerabilidades de segurança graves que ameaçam a estabilidade de milhões de sites e sistemas de comunicação ao redor do mundo, em meio a avisos de especialistas em segurança cibernética sobre a possibilidade de ataques em larga escala que exigirão esforços massivos de limpeza e manutenção.
Detalhes da vulnerabilidade grave no PHP
O primeiro problema diz respeito a uma vulnerabilidade de software crítica na linguagem de programação PHP que afeta diretamente sistemas de gerenciamento de conteúdo populares, como WordPress e Drupal. A PHP Foundation anunciou o lançamento de correções de segurança para tratar duas vulnerabilidades classificadas com nível de gravidade alto, com 9,2 de 10 pontos, convocando os usuários a se prepararem para atualizações imediatas.
Estas atualizações preventivas surgiram após a circulação de um vídeo que documenta uma ferramenta chamada PHP2Shell executando códigos em servidores web que incluem as versões mais recentes de WordPress, MediaWiki, Symfony e Drupal. A empresa de segurança cibernética watchTowr confirmou a existência da vulnerabilidade que afeta todas as versões do PHP desde a quinta versão, lançada em 2004, o que permite que invasores executem seus próprios códigos e obtenham controle potencial sobre os servidores afetados.
Fragilidade dos certificados de criptografia digital TLS
Em um contexto relacionado, a infraestrutura da internet enfrenta outra crise envolvendo certificados de criptografia digital (TLS). A empresa indiana eMudhra anunciou o comprometimento de oito de seus certificados de autoridade intermediária, que estão vinculados a raízes confiáveis adotadas pelos principais navegadores, como Mozilla, Microsoft, Apple e Chrome.
O risco principal reside no fato de que as chaves de criptografia privada dos certificados comprometidos eram extremamente fracas, com tamanhos variando entre apenas 3 e 8 bits, em vez do padrão habitual de 384 bits. Essas chaves fracas permitem que invasores recuperem seus dados testando um número muito limitado de possibilidades, o que lhes permite falsificar a autenticação de domínios, personificar servidores e interceptar o tráfego de dados.
O que muda na prática para usuários e administradores de sites?
- Medidas de emergência: Administradores de sites e sistemas de gerenciamento de conteúdo correram para aplicar atualizações de software imediatas, o que pode causar a interrupção temporária de alguns sites baseados em PHP durante os processos de manutenção.
- Ações dos navegadores: As empresas Mozilla, Google e Apple bloquearam os certificados comprometidos em seus navegadores; no entanto, especialistas em segurança alertaram que algumas ferramentas do sistema operacional macOS continuam confiando nesses certificados por não verificarem imediatamente as informações de revogação.
- Volume dos riscos esperados: Engenheiros de criptografia descreveram esta crise como algo que pode exigir trabalhos de limpeza em larga escala, superando em volume a famosa vulnerabilidade Heartbleed, que surgiu em 2014, sendo que os maiores riscos atualmente se concentram em redes VPN roteadas e dispositivos de Internet das Coisas (IoT).