O projeto PHP publicou correções para duas falhas críticas que atingem servidores nos quais a linguagem é usada. Sob determinadas condições, uma pessoa sem conta autorizada pode explorar os defeitos para executar código remotamente. Administradores precisam identificar as versões instaladas e aplicar as atualizações correspondentes.
As versões corrigidas, lançadas em 21/10, são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Uma das falhas está ligada à forma como o PHP trata dados internos ao alcançar um limite de memória. A outra pode deixar referências indevidas depois de certos erros fatais. Pesquisadores demonstraram caminhos para explorar os problemas; a Fundação PHP publicou orientações técnicas para sua correção.
Páginas de órgãos públicos em diferentes países foram retiradas do ar enquanto se aplicavam atualizações ou medidas preventivas. Tirar uma página do ar não significa que ela tenha sido invadida. A medida procura reduzir a exposição até que sua administração confirme que o sistema está protegido. Quem depende de uma empresa de hospedagem deve cobrar essa confirmação do fornecedor.
A Fundação PHP reconheceu que sinais de um dos defeitos haviam surgido antes da divulgação dos caminhos de ataque. A busca de uma correção se prolongou porque mexer nas partes afetadas poderia quebrar aplicações e extensões, enquanto poucos especialistas tinham tempo para trabalhar no problema. Ferramentas de inteligência artificial ajudaram pesquisadores a demonstrar a gravidade da falha; coube aos mantenedores preparar, testar e distribuir a solução.
