Pesquisadores de segurança alertaram para a exploração ativa de uma falha grave no ProjectSend, ferramenta de compartilhamento de arquivos de código aberto. A vulnerabilidade, identificada como CVE-2024-11680 (CVSS grau 9.8), permite que agentes mal-intencionados bypassem mecanismos de autenticação, carreguem webshells e obtenham controle remoto sobre servidores vulneráveis. Essa brecha afeta versões do software anteriores à r1720 e é explorada por meio de solicitações HTTP manipuladas enviadas ao arquivo options.php, o que possibilita a alteração de configurações críticas do sistema.
Leia também
Rússia hackeia Wi-Fi nos EUA via Internet
Spyware atacou mesmo com processo na justiça
Embora uma correção tenha sido disponibilizada em maio de 2023, o reconhecimento oficial do CVE só ocorreu recentemente, atrasando a conscientização sobre a gravidade do problema. Dados da plataforma VulnCheck revelam que 99% das instâncias do ProjectSend permanecem desatualizadas, expondo milhares de sistemas a possíveis ataques. Estima-se que 4.000 instâncias públicas estejam online, segundo a Censys, sendo que a maioria utiliza versões obsoletas e vulneráveis, como a r1605, lançada em outubro de 2022. Apenas 1% das instâncias opera com a versão r1750, corrigida.
A exploração da vulnerabilidade ganhou força desde setembro de 2024, impulsionada pela disponibilização de exploits públicos nas ferramentas Metasploit e Nuclei. Segundo o VulnCheck, ataques observados envolvem a criação de contas fraudulentas, alterações nos sistemas para habilitar registros de usuários e o plantio de webshells no diretório upload/files. Esses arquivos, nomeados com base em hashes SHA1 e timestamps POSIX, podem ser acessados diretamente, sinalizando exploração ativa.
Além disso, pesquisadores identificaram um padrão nos títulos das páginas de instâncias comprometidas, que passaram a exibir sequências longas e aleatórias. Essa característica é um indicativo direto do uso das ferramentas mencionadas, que alteram configurações do sistema para realizar testes de vulnerabilidade. A GreyNoise registrou 121 endereços IP associados a essa atividade, sugerindo ataques amplos e coordenados.
Especialistas recomendam que usuários atualizem imediatamente o ProjectSend para a versão r1750. A inação diante dessa ameaça coloca dados sensíveis em risco, especialmente para organizações que dependem da ferramenta como alternativa auto-hospedada a serviços comerciais de compartilhamento de arquivos. A rápida adoção do patch é crucial para conter a escalada de ataques já em curso.
