Dois graves problemas de segurança na internet surgiram, colocando administradores de sites em estado de alerta. O primeiro envolve certificados TLS com criptografia extremamente fraca que pode afetar VPNs e dispositivos IoT. O outro é uma grave vulnerabilidade na linguagem de programação PHP impactando sistemas CMS como WordPress e Drupal. Ambos os problemas podem resultar em ataques em larga escala e exigem grandes trabalhos de limpeza, alertam especialistas em segurança.
A Fundação PHP lançou patches de segurança para duas vulnerabilidades críticas classificadas com 9,2 de 10 na escala de gravidade. Um relatório mostra vídeo de uma ferramenta chamada PHP2Shell executando código em servidores web, incluindo as versões mais recentes de WordPress, MediaWiki, Symphony, Drupal e outros sites baseados em PHP. A firma de segurança Towr afirma que a vulnerabilidade afeta todas as versões desde PHP 5 (2004) em diante, potencialmente permitindo que atacantes executem seu próprio código em um servidor.
Uma empresa baseada na Índia chamada e Mudhra relatou que oito de seus certificados CA intermediários foram comprometidos. As chaves privadas são fracas, variando de três a oito bits em vez dos habituais 384 bits, potencialmente permitindo que atacantes falsifiquem credenciais para sites e aplicativos. Mozilla, Google e Apple bloquear os certificados comprometidos, mas uma ferramenta macOS pode continuar confiando neles. e Mudhra revogou os certificados e culpou um script usado para gerá-los.
O maior risco atualmente é para VPNs, especialmente onde governos tentam interceptar tráfego, e dispositivos IoT. Filippo Valsorda alertou que este será um trabalho de limpeza massivo maior que Heartbleed. Administradores web estão trabalhando para corrigir os problemas, com alguns sites baseados em PHP potencialmente caindo brevemente.
Fonte: Engadget · Resumido por HeadlinesBriefing