Entenda: Falha no PHP mobiliza ação internacional de cibersegurança, mas sem sucesso

Dois dias após a liberação de atualizações de emergência para corrigir duas falhas críticas no PHP, cibercriminosos começaram a explorar as brechas para tentar espalhar a rede de robôs maliciosos Mirai. o movimento acendeu o alerta em governos e empresas globais. No entanto, relatórios de diversas empresas de segurança digital confirmam que, até o momento, nenhuma invasão obteve sucesso em sistemas reais.

Com o nome conjunto de “ PHP2Shell ”, as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 receberam nota de gravidade 9,2 (em uma escala de 10) e afetam o motor da linguagem PHP, usada para o funcionamento de grande parte dos sites do mundo. A falha permite que os invasores tomem o controle dos servidores sem precisar de senha ou login. A descoberta inicial partiu de pesquisadores das empresas Wiz, OpenAI e Calif, e a correção oficial saiu nesta quarta-feira (21) pelas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP.

Apesar da gravidade, a aplicação prática do ataque se mostrou extremamente difícil. A empresa Sophos identificou tentativas de instalar uma variante do malware Mirai, chamada Potassium, mas todas as investidas foram impedidas antes que os arquivos chegassem aos computadores das vítimas, conforme detalhado no relatório de segurança. Análises da Arctic Wolf também conectaram executáveis do Potassium aos servidores que hospedavam arquivos de ataque do PHP2Shell, sem registros de infecção concluída.

“A ausência de explorações bem-sucedidas no mundo real sugere que os próprios criminosos estão enfrentando dificuldades”, afirmaram os pesquisadores da Sophos.

Paralelamente, a equipe de testes da big tech tentou criar um código capaz de dominar um sistema usando as falhas e encontrou barreiras complexas, mesmo com apoio de ferramentas de inteligência artificial (IA). A empresa Sansec também identificou que os códigos de invasão públicos falharam contra instalações do PHP mantidas em configurações padrão.

Para o executivo principal de Segurança da Informação da SOCRadar, Ensar Seker, a preocupação do mercado é plenamente justificável por afetar o núcleo da linguagem:

O PHP identifica as implantações php do Apache com as de maior risco, com um ataque demonstrado que pode ser acionado antes mesmo que o código da aplicação seja executado. Isso significa que uma aplicação bem mantida ainda pode ficar exposta devido ao seu ambiente de execução subjacente

Seker acrescentou que a Amazon Threat Intelligence detectou tentativas nos sistemas de atração no dia 17 de outubro, antes mesmo da divulgação pública.

“Avalio que a atividade observada segue um padrão familiar: os invasores identificam uma vulnerabilidade potencialmente valiosa, desenvolvem ferramentas e varrem sistemas alcançáveis. A atenção pública pode acelerar esse processo, mas atividade não pode ser explicada apenas com uma reação das manchetes”, avalia o executivo, em análise enviada ao TecMundo.

O principal obstáculo para os invasores é uma proteção de memória presente nos sistemas operacionais modernos, conhecida pela sigla ASLR. Ela funciona como uma espécie de embaralhador do mapa de memória do computador, o que impede que o código malicioso saiba exatamente para onde ir ao tentar assumir o controle do sistema.

A empresa de segurança VulnCheck informou ter conseguido criar um método para burlar essa proteção em ambientes de teste. Contudo, essa ferramenta de invasão só está disponível para os clientes da plataforma de inteligência de ameaças e depende de condições muito específicas para funcionar.

2:30 Vazamento antecipado de vulnerabilidades no PHP provoca ataques imediatos, desligamento de portais na Europa e mobilização global de equipes de segurança. Crédito: Derek Keller

Em contrapartida, a empresa de segurança Wordfence analisou mais de 74 mil tentativas de ataque e sondagens bloqueadas pelos sistemas em mais de cinco milhões de sites e também confirmou que nenhum cliente sofreu invasão efetiva.

Em contrapartida, a empresa Wordfence analisou mais 74 mil tentativas de ataques e sondagens bloqueada pelos sistemas em mais de cinco milhões de acessos de site. Ela também confirmou que nenhum cliente sofreu invasão efetiva.

“Até o momento, não observamos nenhuma invasão confirmada resultante dessas vulnerabilidades, o que é um indicador claro de complexidade desse ataque”, destacou a equipe de análise da Wordfence.

O criminoso testou a ferramenta contra 123 servidores de empresas de hospedagem e provedores de internet. O levantamento da Hunt.io, que também investigou o mesmo servidor exposto, confirmou que o hacker realizou dez rodadas de testes e obteve zero invasões concluídas.

O criminoso testou a ferramenta contra 123 servidores de empresas de hospedagem e provedores de internet. O levantamento da Hunt.io e a investigação do mesmo servidor exposto confirmaram que o hacker realizou dez rodadas de teste e obteve zero invasões concluídas.

Em quantos os ataques enfrentam barreiras técnicas, a lentidão na aplicação das correções mantém uma grande superfície de risco exposta na internet. Um levantamento publicado pela Qualys, baseado em dados anonimizados de 12 mil clientes, revelou que 110 milhões de instâncias de PHP rodam versões antigas que já perderam o suporte oficial do fabricante, entre edições 5.4 e 8.1. O progresso dessas atualizações pode ser acompanhado em tempo real no painel mantido pela Censys.

Servidores antigos não recebem correções automáticas do projeto principal do PHP, o que exige que administradores atualizem todo o sistema ou busquem pacotes adaptados por distribuições Linux. Apenas 199 mil sistemas aplicaram as correções nas primeiras 12 horas após o lançamento dos patches oficiais, segunda Qualys

A recomendação de todos os órgãos de segurança é que os administradores apliquem as correções imediatamente e reiniciem os serviços de hospedagem web. A equipe do PHP emitiu, nesta sexta-feira (23), um alerta complementar recomendando a desativação do recurso de progresso de envio de arquivos em sessões enquanto prepara uma correção para outra falha correlata, identificada como CVE-2026-115560.

“Minha conclusão prática é que as organizações precisam de um processo capaz de identificar a responsabilidade sobre o sistema, aplicar proteções temporárias e implantar correções verificadas em poucas horas quando um serviço crítico exposto estiver em risco”, concluiu Ensar Seker.

Leia sobre o caso “PHP2Shell” de maneira detalhada. Siga o TecMundo no X,, e YouTube e assine a para receber as principais notícias e análises diretamente no seu e-mail.

Vivo Satélite: como verificar a compatibilidade do celular e usar a internet da Starlink?

Reiteramos nosso compromisso em indicar apenas produtos e promoções curados e selecionados pelos nossos especialistas, sempre levando em consideração a experiência dos nossos leitores.

Sempre verifique códigos e descontos. Lojas e marcas podem alterar ou encerrar ofertas a qualquer momento.