PHP avisa que vai lançar dois patches de emergência a qualquer momento

Sponsored by

21 OUT · Nº 137

Tema escolhido ontem: Segurança. Está na pauta 03.

Bom dia, cafeinado.

Um exploit não confirmado que promete rodar código remotamente em sites PHP fez os mantenedores da linguagem avisarem: dois patches críticos saem a qualquer momento. Vira o shot. ☕

No shot de hoje · toque pra pular

🚨

PHP e o patch de emergência

01↓

📹

Câmeras do Smart Sampa expostas

02↓

🎬

Documentário da Netflix sob suspeita

03↓

🎮

Jailbreak do PS5 chega na véspera de GTA 6

04↓

🚀

SpaceX e Tesla avaliam fusão

05↓

Quem banca a edição de hoje

State of Product reveals what AI still hasn’t solved

80% of product professionals say AI helps them ship faster, but customers aren’t seeing value any sooner. Atlassian’s State of Product 2027 explores the gains AI is delivering and the challenges that remain, from decision-making that hasn’t kept pace to gut instinct overriding customer evidence.

Read the report

Patrocinadores mantêm a edição gratuita

01 A manchete

↑ índice

PHP avisa que vai lançar dois patches de emergência a qualquer momento

Os mantenedores do PHP soltaram um aviso incomum: dois patches de segurança críticos devem ser lançados a qualquer momento, e quem administra sites na linguagem precisa estar pronto pra aplicar a atualização assim que ela sair.

O gatilho é um relato ainda não confirmado de um exploit batizado de PHP2Shell, que supostamente permite executar código remotamente em sites rodando PHP. A gravidade do cenário, mesmo sem confirmação oficial completa, foi suficiente pra equipe da linguagem adiantar o aviso em vez de esperar o lançamento oficial.

PHP ainda move uma fatia enorme da web, de sites pequenos a sistemas de grande porte, o que torna qualquer falha de execução remota de código um risco em cascata: um site vulnerável pode virar porta de entrada pra roubo de dados, sequestro de servidor ou propagação de malware.

O aviso prévio, sem data exata, coloca administradores de sites em posição de espera ativa: a recomendação prática é acompanhar os canais oficiais do PHP nas próximas horas e aplicar o patch assim que ele for publicado, sem adiar.

Até o fechamento desta edição, não havia confirmação pública do exploit nem detalhes técnicos completos liberados, o que é comum em casos de correção coordenada de vulnerabilidades críticas: o time evita divulgar o problema antes de ter a correção pronta.

Sites rodando PHP sem a atualização assim que ela sair ficam expostos a um exploit que, segundo o relato, executa código remotamente.

Fonte: Ars Technica

Dois lados da xícara

▲ Ganha

Administradores que aplicarem o patch assim que sair evitam a janela de exploração do PHP2Shell.

▼ Perde

Sites PHP desatualizados ficam na mira caso o exploit remoto seja confirmado.

02 Segurança

↑ índice

Câmeras do Smart Sampa ficaram expostas por quase um ano em vazamento

Informações do sistema de videomonitoramento Smart Sampa, da Prefeitura de São Paulo, ficaram disponíveis publicamente por cerca de 11 meses em um repositório de acesso aberto, segundo apuração do Tecnoblog.

O caso agora é alvo de investigação do Ministério Público, que apura como dados do sistema de câmeras da cidade permaneceram expostos por tanto tempo sem que a falha fosse detectada ou corrigida pela gestão do programa.

O Smart Sampa é a rede de videomonitoramento da capital paulista usada para segurança pública, e uma exposição prolongada de dados desse tipo de sistema levanta questões sobre quem teve acesso às imagens e informações durante o período em que o repositório ficou aberto.

O episódio reforça um padrão recorrente em sistemas públicos de vigilância: a coleta de dados sensíveis em larga escala exige proteção equivalente, e falhas de configuração em repositórios podem passar despercebidas por meses antes de serem descobertas.

Dados de um sistema de vigilância pública da maior cidade do país ficaram acessíveis por quase um ano sem controle.

Fonte: Tecnoblog

A dose exata

A exposição das câmeras do Smart Sampa durou cerca de 11 meses antes de ser identificada.

Quem banca a edição de hoje

Blu Dot surpasses 2,000% ROAS with self-serve CTV ads

Blu Dot used Roku Ads Manager to drive incredible results for its furniture sales event. Its strategy hinged on custom audiences and retargeting, where intent was strongest.

“Roku has been a top performer,” said Blu Dot’s Claire Folkestad. “We have seen…CPMs lower than any other CTV partner we've worked with.”

Learn More

Patrocinadores mantêm a edição gratuita

Espresso

Chrome O Google Chrome vai usar o Gemini para alertar sobre sites suspeitos e bloquear comandos maliciosos. →

TikTok Documentos judiciais mostram que a direção do TikTok ignorou alertas internos sobre exploração sexual de menores na plataforma. →

Xbox O próximo Xbox, o Project Helix, pode custar entre US$ 1.200 e US$ 1.800 e só chegar em 2028. →

03 Segurança escolha dos leitores

↑ índice

CEO da Hugging Face diz que documentário da Netflix sobre hack de IA distorce os fatos

Clem Delangue, cofundador e CEO da Hugging Face, usou as redes para alertar que o documentário da Netflix sobre um suposto hack envolvendo a OpenAI não é preciso, apesar de aparecer no próprio filme como uma das fontes entrevistadas.

Segundo Delangue, a produção foi na linha do que ele chamou de modo catastrofista, exagerando riscos e cenários de forma que não reflete a realidade técnica do caso retratado.

O alerta vem de dentro: Delangue participou da gravação do documentário e agora toma distância do resultado final, pedindo cautela a quem for assistir e compartilhar o conteúdo nas redes.

O episódio expõe uma tensão comum quando empresas de tecnologia cedem entrevistas a produções sobre riscos de IA: o material captado pode ser editado de um jeito que amplifica o medo além do que os próprios entrevistados sustentam.

Quem assistiu ou pretende assistir ao documentário deve considerar a ressalva de uma das fontes entrevistadas antes de tirar conclusões.

Fonte: TechCrunch

04 Games

↑ índice

Jailbreak do PS5 chega à versão exigida por GTA 6 um mês antes do lançamento

O desbloqueio não oficial do PlayStation 5 alcançou a versão 14.10 do firmware, justamente a que será pré-requisito obrigatório para rodar GTA 6, segundo demonstração do desenvolvedor conhecido como Gezine.

O vídeo mostra o acesso às configurações de debug do console e a execução do procedimento de jailbreak, repetindo o caminho que antes só funcionava até a versão 13.60 do sistema.

A notícia reacende a preocupação da Sony Interactive Entertainment com pirataria às vésperas do lançamento de um dos jogos mais aguardados da década: com o jailbreak acompanhando a versão de firmware mais recente, o controle da empresa sobre cópias não autorizadas fica mais frágil.

Para quem joga no PS5 original (sem o firmware modificado), nada muda na prática, mas o caso sinaliza que a corrida entre hackers e a Sony para travar brechas de segurança do console segue ativa bem no momento em que o jogo mais esperado do ano está para chegar.

A pirataria no PS5 volta a ameaçar justamente o lançamento mais aguardado do catálogo, a um mês da estreia de GTA 6.

Fonte: Canaltech

05 Negócios

↑ índice

SpaceX e Tesla criam comitês especiais para avaliar fusão das empresas

Os conselhos de administração da SpaceX e da Tesla formaram comitês especiais, compostos por diretores independentes, para analisar uma possível fusão entre as duas empresas, atendendo a pedido de acionistas, segundo Elon Musk.

Musk, CEO e maior acionista individual de ambas, disse durante a teleconferência de resultados do terceiro trimestre da SpaceX que não pode participar das discussões por ser parte conflitada, descrevendo a situação como uma dança estranha entre dois grupos separados.

A Tesla tem sete diretores independentes sob as regras da Nasdaq, incluindo a presidente do conselho Robyn Denholm e o ex-CTO da Tesla JB Straubel; a SpaceX lista seis diretores independentes, entre eles Steve Jurvetson e Luke Nosek. Nenhum nome dos comitês foi divulgado.

Musk afirmou apoiar a ideia da fusão, mas fez questão de dizer que ela não é garantida: segundo ele, os comitês ainda não chegaram a um acordo sobre os termos de qualquer transação, e a decisão final depende do apoio dos acionistas de ambas as companhias.

Acionistas de SpaceX e Tesla terão uma avaliação independente antes de qualquer decisão sobre unir as duas empresas.

Fonte: TechCrunch

No radar · a agenda de hoje

Hoje · Acompanhar os canais oficiais do PHP para a publicação dos dois patches críticos anunciados.

Sexta-feira · Começam os pré-pedidos do iPhone Duo, o primeiro iPhone dobrável, com entrega prevista para 23/10.

28/10 · Apple realiza o evento 'Pro and Tell', com expectativa de novos Macs e iPads.

Pra viagem

Conferir o resultado do comitê especial da Tesla nos próximos informes de resultado antes de tomar qualquer decisão sobre as ações da empresa.

Entre um patch que ainda não saiu, um sistema de câmeras que ficou exposto sem ninguém notar e um documentário que distorce o que realmente aconteceu, o fio comum do dia é o mesmo: segurança na tecnologia raramente falha de uma vez só, ela vaza aos poucos até alguém prestar atenção.