Depois das vulnerabilidades que deixaram a internet em pânico, a equipa de segurança do PHP divulgou medidas de mitigação para uma nova vulnerabilidade de execução remota de código (RCE), identificada como CVE-2026-115560. Embora ainda não exista uma correcção de segurança oficial, temos a atenuante de que esta falha apenas afecta sistemas com uma configuração específica, exigindo uma combinação pouco comum de código e definiçõe.
Segundo o aviso de segurança, a aplicação tem de configurar
session.serialize_handler como php_binary ou php_serialize e, depois, alterá-lo para php durante a execução através de ini_set(), antes de chamar session_start(). A funcionalidade de progresso de carregamento de ficheiros através de sessões também tem de estar activa. Como esta configuração é considerada bastante rara, a equipa optou por corrigir a vulnerabilidade no ciclo normal de actualizações, em vez de lançar uma correção imediata de emergência.
session.upload_progress.enabled=0. A equipa do PHP esclarece que quem já aplicou esta medida não precisa de fazer mais nada. A recomendação foi divulgada juntamente com actualizações para outras duas vulnerabilidades críticas de RCE, CVE-2026-109618 e CVE-2026-109619, conhecidas em conjunto como PHP2Shell.As vulnerabilidades PHP2Shell já estão a ser alvo de tentativas de exploração. A Amazon Threat Intelligence detectou tentativas vários dias antes da disponibilização das correcções, enquanto outras empresas de segurança também registaram o mesmo tipo de actividade antes da divulgação pública. Os investigadores esperam que o número de ataques bem-sucedidos vá aumentando à medida que forem desenvolvidos exploits funcionais, pelo que é importante instalar as actualizações disponíveis. Para os sistemas antigos que já não têm manutenção activa, será uma questão de tempo até sucumbirem a estes ataques.
Sem comentários:
Enviar um comentário (problemas a comentar?)