Descobertas várias falhas graves na linguagem PHP

Foram encontradas múltiplas vulnerabilidades em versões da linguagem PHP (Hypertext Preprocessor), que colocam em risco a integridade de Web sites. Ao todo, são dez falhas de segurança, classificadas como altamente críticas pela Secunia.

PHP é uma linguagem de programação baseada em scripts, amplamente utilizada no desenvolvimento de Web sites dinâmicos, e com capacidade de interagir com o formato HTML. O PHP pode ser rodado em vários servidores Web, como Apache, IIS, Caudium, Netscape e iPlanet, OmniHTTPd e outros.

Conforme alerta da Secunia, as vulnerabilidades podem ser exploradas remotamente para contornar determinadas limitações de segurança, escalar privilégios de usuários, obter acesso à informações sensíveis, ou comprometer um sistema vulnerável.

Seis delas foram descobertas e relatadas pelo programador alemão Stefan Esser, responsável pelo Projeto Hardened-PHP, que pretende aumentar a segurança do PHP. As falhas foram constatadas durante a implementação do projeto. Em outras ocasiões, o pesquisador já foi responsável pela descoberta de importantes vulnerabilidades no PHP.

Esser afirma que as falhas detectadas por ele podem atingir vários aplicativos construídos com a linguagem PHP, entre os quais: phpBB2, Invision Board, vBulletin, Woltlab Burning Board 2.x, Serendipity Weblog, phpAds, o outros.

Três outras falhas foram divulgadas no boletim 4.3.10, emitido pela equipe de desenvolvimento do PHP. O pesquisador Martin Eiszner foi responsável por outra das descobertas.

Estão vulneráveis as versões PHP 5.0.x e PHP 4.3.x. A recomendação é que os administradores atualizem rapidamente suas versões para 4.3.10 ou 5.0.3. O download pode ser feito no site oficial do PHP.