ShowDoc sob ataque: vulnerabilidade crítica CVE-2025-0520 permite web shells e já é explorada no mundo real

Uma vulnerabilidade crítica no ShowDoc - uma plataforma de gestão e colaboração documental muito utilizada na China - tornou-se relevante porque agora está sendo explorada ativamente no mundo real. Identificada como CVE-2025-0520 (também relatado como CNVD-2020-26585), esta falha tem uma pontuação CVSS de 9.4/10, o que a classifica como de risco muito alto e apta para permitir intrusões graves quando não se corrige.

O problema é um caso de carregamento de arquivos sem restrições: a aplicação não valida corretamente as extensões e permite que você aumente arquivos PHP maliciosos. Com esse vetor, um atacante pode depositar um web shell no servidor e executar código à distância, obtendo controle sobre a instância vulnerável. Pesquisas prévias e avisos técnicos já haviam apontado que as versões anteriores à 2.8.7 eram suscetíveis a esta técnica, e que o adesivo correspondente foi introduzido na versão 2.8.7 publicada em outubro de 2020.

Em outubro de 2020 ShowDoc lançou a correção, e desde então o projeto continuou evoluindo para os ramos atuais (a versão estável ao momento de escrever é a 3.8.1). Ainda assim, segundo o seguimento compartilhado por Caitlin Condon, vice-presidente da pesquisa de segurança em VulnCheck, a vulnerabilidade passou a ser aproveitada em ataques no terreno: observou-se um exploit que deixa um web shell em um honeypot localizado nos Estados Unidos que executava uma versão vulnerável do ShowDoc. Isso confirma que, embora a falha tenha já anos, os atacantes continuam procurando e explorando instâncias desatualizadas.

Os dados públicos apontam que há mais de dois mil instâncias do ShowDoc acessíveis da Internet, com uma concentração importante na China. Esse panorama explica por que uma vulnerabilidade conhecida e patchada pode continuar sendo perigosa: muitos desdobramentos não se atualizam ou permanecem expostos, o que oferece objetivos fáceis para atores maliciosos que aproveitam esses chamados falhas “N-day” –vulnerabilidades conhecidas para as quais existe adesivo, mas que continuam em uso em instalações sem atualização.

Para quem administra o ShowDoc a recomendação é clara: atualizar quanto antes à versão mais recente. Actualizar não só aplica o arranjo para a carga de arquivos, mas reduz a superfície de ataque contra outras falhas técnicas descobertas com o tempo. Além de atualizar o software, é prudente rever registros e conteúdos em diretórios de subida em busca de arquivos PHP ou web shells, segregar as instâncias expostas à Internet e aplicar controles de perímetro como firewalls de aplicativos web (WAF) e regras de bloqueio. Também é conveniente auditar utilizadores e permissões e considerar cópias de segurança seguras e listas de resposta a incidentes em caso de intrusões.

Se você quiser ver a referência técnica de por que esse tipo de carga de arquivos é perigosa, OWASP mantém documentação muito útil sobre riscos associados a cargas sem controle: OWASP — Unrestricted File Upload. Para informações sobre o projeto ShowDoc e seus lançamentos você pode consultar o repositório público no GitHub: star7th/showdoc no GitHub. E para o seguimento do caso e análise de exploração ativa você pode interessar a página de VulnCheck, desde onde foram compartilhados detalhes do incidente: VulnCheck. Finalmente, se você procura a ficha oficial do CVE, o portal de NVD costuma centralizar essas entradas: NVD — National Vulnerability Database.

Este episódio é uma boa recordatória de que o simples fato de existir um adesivo não impede que uma vulnerabilidade continue sendo perigosa: a gestão de atualizações, a visibilidade sobre as instâncias expostas e as práticas básicas de endurecimento operacional são tão importantes quanto o adesivo em si. Se você administrar o ShowDoc ou estiver a cargo de um ambiente que o usa, não deixe para amanhã uma atualização que pode evitar uma intrusão hoje.