CVE-2024-4577 no PHP: como funciona a falha crítica do PHP-CGI no Windows
Publicado em 2026-10-27 por frfrand
O que é CVE-2024-4577, quem o descobriu, quando afeta o PHP no Windows, como é explorado e como proteger seu site ou servidor.
O que aconteceu com o PHP e por que isso importa?
Imagine que seu site funcione normalmente, mas o servidor interprete parte de uma requisição HTTP como instruções para o programa que executa o PHP. Isso é o que tornou especialmente perigosa a CVE-2024-4577, publicada em junho de 2024: sob condições específicas, um atacante remoto sem fazer login poderia fazer com que o PHP-CGI recebesse opções que nunca deveriam vir do visitante. O resultado poderia ser a execução de código ou a exposição de informações sensíveis.
Quem descobriu a vulnerabilidade e como foi reportada?
A investigação é atribuída a Orange Tsai, da DEVCORE. O achado foi comunicado pelos canais de segurança e o PHP Group publicou correções. Identificar uma falha assim exige revisar como uma camada entrega dados para outra: aqui o ponto inesperado estava na conversão de caracteres do Windows e como o PHP-CGI interpretava o resultado.
Quais sistemas e versões estavam afetados?
O registro do PHP Group sinaliza as versões 8.1 anteriores à 8.1.29, 8.2 anteriores à 8.2.20 e 8.3 anteriores à 8.3.8, em cenários com Apache, PHP-CGI no Windows e certas páginas de códigos. Uma instalação do PHP no Linux não fica automaticamente afetada por esta falha específica; também não basta ver «PHP 8» para afirmar que um site é vulnerável. O modo de execução e a configuração importam muito.
Como era explorado?
A nível conceitual, o atacante enviava uma solicitação web manipulada para aprovechar uma conversão de caracteres conhecida como Best-Fit. Essa transformação poderia fazer com que uma entrada tratada como dado terminasse sendo interpretada como opção da linha de comando do PHP. Não era necessário conhecer a senha do administrador se a configuração vulnerável fosse alcançável. Não é correto assumir que qualquer formulário PHP provoca esse efeito: a origem da falha está na integração PHP-CGI/Windows.
Por que é considerado tão grave?
Uma execução remota de código pode permitir ler arquivos de configuração, comprometer credenciais, alterar o site ou instalar componentes maliciosos com as permissões do serviço web. A ficha CVE atribui gravidade crítica. Além disso, organismos de resposta relataram exploração real; por isso não bastava pensar que era uma prova acadêmica.
Como saber se seu site corre risco?
Primeiro averigue onde o PHP é executado: Windows ou Linux. Depois confira como: PHP-CGI, FastCGI, módulo do Apache ou outro modo. Verifique o número exato da versão e o boletim aplicável. Se você usa Windows com PHP-CGI exposto, priorize a revisão; se a distribuição mantém patches retroportados, coteje o pacote concreto com seu aviso de segurança.
Como se resolve?
A solução é atualizar para uma versão corrigida e atualmente mantida do PHP, seguindo as instruções do fabricante ou provedor de hospedagem. As versões 8.1.29, 8.2.20 e 8.3.8 corrigiram este CVE em seus respectivos ramos históricos; não são uma recomendação para instalar versões antigas em 2026. Se você administra Apache no Windows, verifique se realmente precisa expor o PHP-CGI e remova essa superfície de ataque quando não for necessário. Teste em um ambiente de staging, mantenha backup e monitore logs após a atualização.
Perguntas rápidas
Também afeta o WordPress? Um WordPress executado em uma configuração PHP-CGI vulnerável poderia ficar exposto, embora a falha seja do PHP, não do núcleo do WordPress.
Um firewall substitui o patch? Não. Pode reduzir a exposição, mas a correção principal é atualizar e revisar a configuração.
O que fazer se suspeitar de exploração? Preserve registros, restrinja acesso, revise a integridade do sistema e credenciais, e trate o incidente como um potencial comprometimento do servidor.
Fontes verificáveis: CVE oficial do PHP Group · PHP ChangeLog · CERT-EU.
Onde acompanhar os alertas e solicitar suporte?
Na ArduMaker explicamos novas vulnerabilidades e compartilhamos orientações sobre revisão de versões, atualizações e medidas de contenção. Você pode consultar a página de CVE e suporte da ArduMaker. Se o seu sistema não usa WordPress, indique igualmente a tecnologia, versão e configuração ao descrever o caso para avaliar o que corresponde revisar. Um alerta publicado não significa que todos os servidores dessa tecnologia estejam afetados, nem que uma atualização pendente implique uma intrusão confirmada.
Atualização editorial: outubro de 2026. Verifique sempre o aviso oficial por possíveis mudanças de versões e mitigações.
Exemplo prático: uma web PHP no Windows
Situação: uma loja WordPress funciona no Windows com Apache e PHP-CGI. O administrador recebe um alerta sobre CVE-2024-4577. Não basta olhar a versão do WordPress: o problema está em como o Windows, o Apache e o PHP-CGI interpretam a requisição.
Verificação sem atacar o site: no próprio servidor, execute o PowerShell e verifique o binário PHP utilizado pelo Apache:
& "C:\php\php.exe" -vVerifique então na configuração do Apache se esse é o PHP realmente vinculado. Compare ramo e versão com o aviso oficial; evite publicar uma página phpinfo() na Internet apenas para investigar.
Antes: PHP-CGI vulnerável e publicamente acessível. Depois: runtime atualizado, processos reiniciados e uma requisição de teste normal que confirma que login, pagamentos e formulários continuam funcionando. Um backup permite voltar atrás se uma extensão antiga deixar de ser compatível.
O que o comando não prova? Que seu site foi atacado. Apenas ajuda a inventariar o interpretador; o risco exige revisar configuração e registros.