​Aviso urgente de segurança da informação: PHP, Node.js e Go

(Minghui.org) Na última semana, foram relatadas importantes vulnerabilidades de segurança nos ambientes de execução PHP, Node.js e Go. Administradores que mantêm servidores que utilizam essas tecnologias, incluindo sistemas populares de gerenciamento de conteúdo como o WordPress, devem agir para proteger seus serviços contra possíveis explorações.

Desde 21 de outubro, agências globais de cibersegurança e canais oficiais do PHP e do Node.js têm divulgado boletins de segurança críticos sobre vulnerabilidades que permitem que invasores não autorizados executem código remotamente (RCE) ou desencadeiem um ataque de negação de serviço (DoS).

Como as vulnerabilidades existem no ambiente de execução da linguagem ou em bibliotecas integradas, simplesmente atualizar aplicativos front-end, como plugins do WordPress ou pacotes npm, não protegerá um servidor; o próprio ambiente de execução da linguagem precisa ser atualizado.

Vulnerabilidades nas principais plataformas tecnológicas

1) PHP (Vulnerabilidade “PHP2Shell”)

- Vulnerabilidades de execução remota de código: CVE-2026-109618, CVE-2026-109619 (pontuação CVSS 9.2, risco crítico).
- Resumo: Existem falhas no gerenciamento de memória subjacente e no tratamento do estado global. Quando um erro de falta de memória (OOM) é acionado, isso pode levar à corrupção de memória ou ao uso de estado obsoleto por uma solicitação posterior processada pelo mesmo worker. 
- Âmbito de impacto: Todos os sites e servidores PHP sem as devidas atualizações. Os atacantes podem lançar ataques sem quaisquer credenciais ou privilégios.

2) Node.js

As vulnerabilidades de segurança de rede e do decodificador Brotli incluem CVE-2026-111497 (gravação fora dos limites da memória do Brotli) e múltiplas vulnerabilidades de autenticação TLS/DNS. 
- Resumo: O decodificador de dados comprimidos Brotli integrado apresenta uma vulnerabilidade de gravação fora dos limites da memória; além disso, há o risco de burlar a verificação de credenciais e nome do host.
- Âmbito de impacto: Tratamento de dados comprimidos em Brotli não confiáveis, conexões de rede externas e serviços Node.js para servidores proxy.

3) Linguagem Go e frameworks relacionados

- Foram lançadas correções de segurança para protocolos de rede relevantes, bibliotecas padrão e principais frameworks de código aberto, como proxies HTTP e interfaces de gerenciamento de rede.
- Âmbito de impacto: Serviços nativos da nuvem que utilizam versões específicas de módulos Go ou que dependem deles.

Ações urgentes para administradores de servidores

As verificações tradicionais de dependências de pacotes (como a análise de package.json ou composer.json) não conseguem detectar vulnerabilidades no ambiente de execução. É necessário verificar a versão do ambiente de execução presente no servidor e/ou nos contêineres.

Versões antigas de ambientes de execução de linguagens que atingiram o fim de sua vida útil (como PHP abaixo da versão 8.2 ou Node.js abaixo da versão 20) não receberão patches oficiais. Aplicativos em execução nessas versões descontinuadas devem ser atualizados para uma versão compatível e com patches aplicados ou isolados da internet.

Se os recursos forem limitados, os administradores do servidor podem seguir estas etapas em sequência:

1) Inventário rápido de ativos (verificação de versão)

Faça login em cada servidor ou contêiner e confirme se a versão do ambiente de execução da linguagem foi afetada.

- Para o PHP, verifique se a versão em execução é anterior à versão corrigida (consulte a lista abaixo). Observação: algumas distribuições Linux aplicam patches retroativamente, portanto, versões anteriores à 8.2 ainda podem receber atualizações. Consulte os anúncios oficiais ou os registros de pacotes da sua distribuição.

- Para Node.js, verifique se você está usando uma versão afetada, como a 22.x, 24.x ou 26.x.

2) Atualize imediatamente para uma versão corrigida

Atualize seu ambiente para a versão corrigida correspondente abaixo e reinicie o processo do serviço (como PHP-FPM ou o aplicativo Node) para liberar a memória residual:

- Versões PHP corrigidas: 
Série PHP 8.5: atualize para a versão 8.5.12 (ou posterior) 
Série PHP 8.4: atualize para a versão 8.4.27 (ou posterior) 
Série PHP 8.3: atualize para a versão 8.3.36 (ou posterior)
Série PHP 8.2: atualize para a versão 8.2.35 (ou posterior).

Versões do Node.js corrigidas: 
Node.js 22.x: atualize para a versão 22.23.4 (ou posterior)
Node.js 24.x: atualize para a versão 24.22.1 (ou posterior)
 Node.js 26.x: atualize para a versão 26.12.1 (ou posterior)

Observação: o suporte para Node.js 20 e versões anteriores foi encerrado. Você deve atualizar para uma versão compatível o mais rápido possível.

3) Recriar contêineres e imagens

Se você estiver usando Docker ou outros contêineres nativos da nuvem, simplesmente alterar a tag não é suficiente; a imagem precisa ser reconstruída para garantir que o ambiente de execução subjacente seja atualizado e o serviço seja reimplantado.

Verifique o firewall de aplicações web (WAF) ou o balanceador de carga do seu front-end para confirmar se as regras de proteção contra tráfego POST anormal e pacotes compactados maliciosos estão ativadas.

O texto acima é apenas uma visão geral. Em casos específicos, o pessoal técnico deve identificar e eliminar urgentemente os riscos com base em seus respectivos ambientes para manter a segurança da informação.