–>
–><!–>
–>
–>
<!–>
–>
<!–>
A PHP Foundation afirmou que a correção de uma falha crítica no PHP (linguagem usada em milhares de sites e serviços da internet) ficou travada por cerca de dois anos por falta de recursos e por problemas no processo de decisão interno.
–>
Fundação disse que identificou um dos dois bugs críticos em 2024, mas não conseguiu fechar um caminho de correção por meses. Os dois problemas, conhecidos em conjunto como PHP2Shell, atingem áreas centrais da linguagem usadas em quase todas as requisições, como gerenciamento de memória e tratamento de erros.
Segundo a fundação, a dificuldade não estava em identificar a existência do problema, mas na solução. Em blog post, a PHP Foundation disse que não conseguia encontrar uma correção que resolvesse a falha sem causar novos problemas para usuários e desenvolvedores que dependem do PHP.
<!–>
–>
Equipe avaliou alternativas de conserto que traziam custos altos para o ecossistema e isso travou o trabalho. A fundação relata que uma opção quebrava a compatibilidade com versões anteriores, outra poderia abrir risco de negação de serviço, e uma terceira exigiria mudanças em milhares de extensões de terceiros.
Modelo de decisão por consenso e equipe pequena contribuíram para o atraso, segundo a própria fundação. “Não vamos fingir o contrário: o atraso foi uma falha estrutural, causada tanto pelo processo de decisão da equipe de segurança quanto pela falta de recursos”, escreveu a PHP Foundation em um post no blog.
Correções foram publicadas nesta semana depois que informações sobre as falhas começaram a circular antes do anúncio planejado. A fundação afirma que antecipou a comunicação e adiantou o lançamento do patch de 22 para 21 de outubro, para tentar reduzir o risco enquanto distribuidores ainda empacotavam a atualização.
Vazamentos e quebras de embargo aceleraram a corrida por exploração pública, de acordo com o relato. “Isso desconsiderou semanas de trabalho de muitas partes em direção a uma divulgação coordenada”, escreveu a PHP Foundation ao citar a publicação antecipada de imagens com o conserto por um fornecedor.
<!–>
A fundação afirma que ferramentas de inteligência artificial têm acelerado a descoberta de falhas de software. Embora isso possa ajudar a identificar problemas mais rapidamente, também aumenta o volume de relatórios que precisam ser analisados pelas equipes de segurança.
–>
O PHP é uma das tecnologias mais usadas para construir sites e aplicações web. Quando uma falha grave é descoberta em componentes centrais da linguagem, milhões de serviços podem ser afetados. O caso também chama atenção para outro problema: a manutenção de parte da infraestrutura da internet depende de equipes pequenas e recursos limitados, mesmo quando essas ferramentas são utilizadas por organizações do mundo inteiro.
<!–>
A urgência das correções ajuda a explicar a preocupação com a vulnerabilidade. Nos últimos dias, empresas e organizações ao redor do mundo, incluindo no Brasil, colocaram sites e sistemas em manutenção para aplicar atualizações de segurança do PHP e reduzir o risco de ataques. Em casos assim, é comum que administradores prefiram interromper temporariamente um serviço a deixá-lo exposto a uma falha crítica que pode ser explorada por criminosos.
–>
<!–>
A fundação aproveitou o episódio para pedir mais financiamento para a manutenção de segurança do PHP. Ela afirma que a linguagem sustenta uma parcela grande da web, incluindo serviços públicos, lojas online e bancos, mas que o trabalho de segurança depende de poucos desenvolvedores pagos pela própria fundação e de ajuda voluntária limitada.
–>
Relato cita aumento do volume de relatórios e o papel de ferramentas de IA em acelerar a descoberta de bugs. A fundação diz que publicou 15 CVEs (identificador único atribuído a uma falha de segurança conhecida) desde o início de julho e analisou mais de 100 outros relatos que acabaram classificados como inválidos ou duplicados.
<!–>
Fundação afirma que já mudou processos e ampliou equipe para evitar novos travamentos. Ela diz que criou um Ecosystem Security Team em maio, contratou dois engenheiros no verão do hemisfério norte e vai trocar decisões por consenso por votação por maioria, além de usar ferramentas de IA para varrer e validar relatórios.
–>
Em publicação no X, a entidade disse que divulgou mais detalhes sobre a sequência de eventos e sobre o que precisa para manter o trabalho. “Publicamos mais informações sobre os lançamentos de segurança de hoje, incluindo a sequência de eventos que levou à descoberta, e o que precisamos de vocês para continuar esse trabalho crítico”, escreveu a PHP Foundation.
–>
Fonte original: www.uol.com.br
Lorem ipsum dolor sit amet, consectetur.
Deixe seu comentário
<!–>
O autor da mensagem, e não o UOL, é o responsável pelo comentário. Leia as Regras de Uso do UOL.
–>
<!–>