Resumo

  • A Ofcom pediu a todos os provedores de comunicação e operadores de serviços essenciais de infraestrutura digital que considerem com urgência o alerta britânico sobre duas vulnerabilidades do PHP.
  • O regulador pretende conversar com serviços supervisionados nos próximos dias e semanas para entender a correção das falhas dentro de suas obrigações regulatórias.

O administrador pode instalar o pacote. Para explicar por que um serviço continuou exposto, talvez precise levar mais gente à reunião. No aviso de 23 de outubro, a Ofcom chamou provedores de comunicação e operadores de serviços essenciais do subsetor de infraestrutura digital a examinar urgentemente a orientação do centro britânico de segurança cibernética. Anunciou também contatos com os serviços que supervisiona para compreender como estão corrigindo as vulnerabilidades. Uma tarefa de software ganhou plateia regulatória.

O alerta do NCSC trata das falhas CVE-2026-109618 e CVE-2026-109619. Erros no tratamento de memória durante requisições podem, em determinadas condições, permitir execução remota de código sem autenticação. PHP aparece em páginas públicas, mas também pode estar em painéis, portais de clientes e sistemas de apoio. O primeiro trabalho é achar cada instalação; a página mais conhecida pode ser a menos surpreendente da lista.

O projeto PHP publicou correções nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Sistemas abastecidos por distribuições Linux ou fornecedores de suporte prolongado podem receber a correção em pacotes com numeração diferente, por meio de backport. É preciso conferir o fornecedor e o pacote efetivamente instalado. Um inventário que guarda apenas o número de versão é um mapa com a legenda cortada.

O NCSC orienta localizar as instalações, priorizar as expostas à internet e aplicar as atualizações. Para quem não consegue atualizar de imediato, aponta medidas temporárias; se nem isso for possível rapidamente, recomenda considerar tirar o sistema do ar. Caso não seja viável atualizar ou desligar imediatamente, aconselha procurar indícios de comprometimento antes da mudança. São escolhas que ligam segurança à continuidade de um serviço usado por terceiros.

A Ofcom colocou essa sequência sob supervisão setorial. Seu aviso descreve a próxima conversa, sem divulgar nomes de empresas ou resultados de inspeções. A pergunta que merece uma resposta em cada operação é concreta: onde roda PHP, qual correção chegou a cada instalação e quem aceitou manter as restantes em funcionamento?