A Cloudflare relatou milhões de tentativas de exploração de falhas recém-divulgadas no PHP, o amplamente utilizado software web, segundo um relatório da Nextgov/FCW. Pesquisadores também alertaram que sites comprometidos podem colocar seus visitantes em risco, não apenas as pessoas que os administram. Se você está se perguntando sobre a vulnerabilidade do PHP e o que os visitantes devem fazer, a resposta curta é que você não pode corrigir o servidor de outra pessoa, mas pode limitar o que um atacante obtém se um site que você usa for comprometido.
Os detalhes disponíveis até agora são limitados, portanto este artigo se atém ao que foi relatado e a práticas gerais de proteção.
O que a Cloudflare está vendo nas tentativas de exploração do PHP
Segundo o relatório, a Cloudflare observou milhões de tentativas de exploração das falhas do PHP. A cobertura também descreve um esforço global para implementar as correções. Essa combinação é comum após um software amplamente utilizado ser atingido por uma divulgação pública: os atacantes varrem a internet em busca de servidores que ainda não foram atualizados, e os administradores correm para aplicar os patches.
O PHP é uma linguagem do lado do servidor, o que significa que ele é executado no servidor web e não no seu dispositivo. Isso importa porque define quem precisa agir. Os proprietários de sites e os provedores de hospedagem precisam aplicar as atualizações. Os visitantes não têm como fazer isso por eles.
Nosso explicador anterior sobre a falha do PHP divulgada em 22 de outubro aborda como a linguagem sustenta uma grande parte da web e por que a maioria das pessoas nunca tinha ouvido falar dela antes da notícia ser divulgada.
Como um site PHP comprometido pode colocar os visitantes em risco
Pesquisadores citados no relatório alertaram que sites comprometidos também podem colocar em perigo as pessoas que os visitam. Embora os caminhos específicos de ataque para essas falhas não estejam detalhados no resumo que temos, existem maneiras gerais pelas quais um site sequestrado pode afetar os usuários:
- Roubo de login: Se um atacante controla um site, ele pode ser capaz de capturar nomes de usuário e senhas digitados em sua página de login.
- Exposição de dados de formulários: Formulários de contato, páginas de checkout e formulários de cadastro podem ser alterados para enviar o que você digita para outra pessoa.
- Redirecionamentos ou downloads maliciosos: Um site comprometido pode ser modificado para direcionar visitantes a páginas ou arquivos prejudiciais, o que pode colocar seu dispositivo em risco.
Nada disso significa que todo site PHP é perigoso. A maioria dos sites será corrigida, e muitos nunca estiveram vulneráveis. O ponto é que o elo fraco pode ser um servidor no qual você nunca pensou, então ajuda se preparar para essa possibilidade.
O que uma VPN pode e não pode fazer contra falhas do lado do servidor
Uma VPN criptografa a conexão entre seu dispositivo e o servidor VPN e oculta seu endereço IP dos sites que você visita. Isso é útil em Wi-Fi público e para limitar parte do rastreamento.
Ela não corrige uma falha no servidor do site. Se um site que você visita foi comprometido, seu tráfego ainda chega a esse site, e qualquer coisa que você enviar por lá ainda pode ser vista por quem o controla. Uma VPN também não impede que você insira sua senha em um formulário de login adulterado. Pense nela como uma camada de proteção de privacidade, não como uma defesa contra um bug do lado do servidor.
O que isso significa para você
Você provavelmente não consegue identificar quais sites executam versões vulneráveis do PHP, e não precisa. O que importa é reduzir os danos se um site que você usa for invadido. Os principais riscos são senhas reutilizadas, contas sem uma segunda etapa de verificação e percepção tardia de que suas informações foram expostas. Cada um desses pontos é algo que você pode controlar hoje.
Passos práticos para se proteger enquanto os sites aplicam correções
- Use uma senha única para cada conta. Um gerenciador de senhas torna isso viável. Se um site vazar sua senha, o dano para por aí.
- Ative a autenticação de dois fatores (2FA). Mesmo que uma senha seja capturada, um segundo fator torna o uso mais difícil. Aplicativos autenticadores ou chaves de hardware geralmente são mais fortes que mensagens de texto.
- Tenha cautela com formulários sensíveis. Evite inserir dados de pagamento ou informações pessoais em sites que pareçam incomuns, carreguem de forma estranha ou se comportem de maneira diferente do habitual.
- Mantenha seu navegador e sistema operacional atualizados. Isso reduz a chance de uma página maliciosa explorar uma fraqueza conhecida em seu dispositivo.
- Fique atento a avisos de vazamento. Se uma empresa informar que foi afetada, altere sua senha prontamente e revise a atividade da conta.
- Use uma VPN para o que ela faz bem. Ela ajuda em redes não confiáveis, mas não conte com ela para compensar um site comprometido.
A conclusão
O aumento relatado nas tentativas mostra a rapidez com que os atacantes agem quando as falhas se tornam públicas, e o quanto da web depende de software que seus visitantes nunca veem. A melhor resposta para a pergunta sobre a vulnerabilidade do PHP e o que os visitantes devem fazer é tornar as credenciais roubadas menos úteis: senhas únicas, 2FA e atenção a alertas de vazamento. Para uma lista de verificação concisa, leia nosso guia sobre cinco maneiras de se manter seguro online após a falha do PHP e coloque esses passos em prática enquanto os proprietários de sites trabalham em suas correções.
