Resumo

  • A ICANN desativou temporariamente três sites em PHP após a divulgação de duas falhas críticas de execução remota de código.
  • Os sistemas de inscrição e publicação de novos gTLD continuaram disponíveis por não usarem PHP; os sites voltaram após o teste do patch.

A resposta da ICANN traçou uma linha nítida na própria estrutura de serviços web: três sites saíram do ar, mas continuaram funcionando os sistemas que recebem inscrições para novos domínios genéricos de primeiro nível e publicam seus resultados. A diferença estava no software usado por cada serviço.

Em 21 de outubro, o projeto PHP publicou um alerta sobre duas falhas críticas que poderiam permitir execução remota de código sem autenticação. Uma envolvia o tratamento de falta de memória durante a limpeza de uma requisição; a outra, o uso de estado interno obsoleto depois que a memória correspondente já havia sido liberada. O projeto listou correções no PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

A ICANN informou que desativou temporariamente o site da Organização de Apoio a Nomes Genéricos (GNSO) e os sites das rodadas de 2026 e 2012 do programa de novos gTLD porque eles usavam PHP. A organização disse que não havia indícios de impacto negativo em seus sistemas. O sistema de Publicação e Estatísticas de Inscrições (APS) e o Sistema de Gestão de Inscrições de Domínios de Primeiro Nível (TAMS) permaneceram disponíveis porque não eram baseados em PHP.

Essa separação teve efeito concreto para os candidatos: o Guia do Candidato da rodada de 2026 continuou acessível pelo ICANN.org enquanto o site da rodada estava fora do ar. Em 22 de outubro, a ICANN informou que aplicou e testou o patch da PHP Foundation e restaurou os três sites.

A interrupção foi breve, mas deixou visível o limite do serviço afetado. Os sites públicos compartilhavam um ambiente PHP vulnerável; os sistemas de inscrição e publicação não. Um caminho alternativo manteve disponível o documento que orienta o programa. A sequência mostra onde a dependência de software terminava: em um grupo de páginas, sem alcançar todos os serviços da rodada.

A ICANN não informou quais versões do PHP estavam instaladas nos três sites. O relato publicado ainda mostra a divisão: os sites foram isolados, os sistemas centrais continuaram disponíveis e a restauração veio após o teste do patch.

Fontes: Resposta e atualização de restauração da ICANN; alerta de segurança do projeto PHP.