Uma vulnerabilidade recém-divulgada no gerenciador de dependências PHP, conhecido como Composer, pode permitir que pacotes maliciosos ou comprometidos alterem permissões de arquivos localizados fora do próprio diretório de instalação. A falha, rastreada como CVE-2026-59944, apresenta riscos significativos para ambientes de desenvolvimento e pipelines de CI/CD onde múltiplos usuários compartilham recursos.
Detalhes técnicos da vulnerabilidade
O problema reside na forma como o Composer gerencia binários de pacotes e resolve caminhos simbólicos. Quando versões vulneráveis processam caminhos de binários inseguros, elas podem seguir links simbólicos que apontam para destinos fora do escopo do pacote. Isso resulta na alteração de permissões de arquivos externos, tornando-os legíveis e executáveis por qualquer usuário no sistema.
A versão corrigida do Composer está disponível nas releases 2.10.3 e 2.2.30. Administradores devem atualizar imediatamente para evitar a exploração dessa falha em ambientes de produção.
Vetor de ataque e exploração
Um pacote malicioso pode declarar um arquivo binário que é um link simbólico resolvendo para um alvo fora do diretório do pacote. Durante a instalação, o Composer segue esse link e altera as permissões do arquivo externo, registrando-o como um comando executável no diretório vendor/bin do projeto.
Embora a falha não conceda execução remota de código direta, a mudança de permissão pode expor arquivos que anteriormente eram legíveis apenas pelo proprietário, incluindo chaves SSH privadas e configurações de banco de dados.
Riscos em ambientes multi-inquilino
O risco é particularmente elevado em ambientes de hospedagem compartilhada, servidores multi-usuário ou plataformas de build. Nesses cenários, outros usuários locais ou processos podem acessar o conteúdo exposto pelos arquivos cujas permissões foram modificadas indevidamente.
A falha também contorna proteções introduzidas em avisos anteriores do Composer, que rejeitavam segmentos de caminho literais "..". A validação anterior era aplicada apenas em uma etapa da resolução de dependências, permitindo que a verificação fosse pulada quando o Composer lidava com metadados de dependência restaurados de ambientes anteriores.
Recomendações de mitigação
Além da atualização para as versões corrigidas, recomenda-se reconstruir diretórios vendor a partir de fontes confiáveis. Isso é especialmente importante para pipelines de CI/CD, dependências em cache, builds de containers e sistemas de implantação.
Equipes de DevSecOps devem auditar seus fluxos de trabalho para garantir que não estejam reutilizando diretórios vendor de fontes não confiáveis ou de menor confiança. A implementação de verificações de integridade de arquivos e monitoramento de alterações de permissão pode ajudar na detecção precoce de explorações.
Análise de impacto
A severidade da vulnerabilidade é classificada como moderada, mas o impacto potencial na confidencialidade é alto devido à natureza dos dados frequentemente armazenados em projetos PHP. A complexidade de ataque é baixa, pois requer apenas a execução do comando de instalação padrão em um ambiente comprometido.
Perguntas frequentes
É necessário reiniciar serviços? Sim, após a atualização, recomenda-se reiniciar os serviços relacionados ao PHP para garantir que novas bibliotecas sejam carregadas corretamente.
Como verificar se estou vulnerável? Verifique a versão do Composer instalada. Se for inferior a 2.10.3 ou 2.2.30, você deve atualizar imediatamente.