O ecossistema de segurança digital costuma reagir com urgência máxima a falhas de execução remota de código (RCE) em tecnologias amplamente distribuídas. O caso das vulnerabilidades CVE-2026-109618 e CVE-2026-109619, apelidadas de PHP2Shell, seguiu esse roteiro com a publicação de exploits de prova de conceito e alertas de risco extremo. No entanto, a telemetria atual das tentativas de ataque revela um contraste claro entre a gravidade teórica do problema e a capacidade técnica dos criminosos de executá-lo em ambientes reais.
A análise do tráfego de rede mostra que a varredura por servidores vulneráveis está ativa, mas o sucesso das invasões é nulo até o momento. A constatação baseia-se em dados de provedores de segurança que monitoram a infraestrutura de clientes. A Sophos, por exemplo, precisou corrigir publicamente uma avaliação inicial: o que parecia ser um comprometimento bem-sucedido era, na verdade, uma tentativa bloqueada por sistemas de defesa.
A barreira da complexidade na exploração
A dificuldade na execução do RCE reside nas dependências arquiteturais e de configuração do PHP. Pesquisadores de segurança independentes afirmam possuir códigos de exploração funcionais, mas os dados sugerem que esses exploits operam com precisão apenas em cenários controlados de laboratório.
A própria equipe do Sophos Adversary Group relatou dificuldades para desenvolver um exploit consistente, mesmo utilizando ferramentas de inteligência artificial. Essa barreira técnica afeta diretamente as operações criminosas. As tentativas documentadas até o momento tentam instalar o Potassium, uma variante expandida da botnet Mirai voltada para ataques de negação de serviço distribuída (DDoS).
O fluxo do ataque interceptado revela um padrão automatizado: o malware tenta conectar-se a um servidor de comando e controle (C2) no IP 134[.]199[.]154[.]64, enviar uma requisição HTTP e verificar se a resposta inicia com os bytes “7F 45 4C 46” (o identificador de arquivos ELF no Linux), para então gravar a carga maliciosa no diretório /tmp/nfs. Todas essas tentativas falharam diante de contramedidas de proteção de rede.
A terceira vulnerabilidade e a eficácia das mitigações
A gestão da crise ganhou uma nova camada no dia 23 de outubro, quando o projeto PHP publicou um aviso informativo sobre uma terceira vulnerabilidade de execução remota, rastreada como CVE-2026-115560.
Diferente das falhas iniciais, este novo vetor de ataque exige uma combinação incomum de configurações e código da aplicação para ser acionado. A relevância prática dessa descoberta diminui frente ao fato documentado de que as mesmas mitigações aplicadas para conter a CVE-2026-109619 bloqueiam a nova ameaça.
As assinaturas de sistemas de prevenção de intrusão (IPS) e as regras de detecção comportamental têm se mostrado suficientes para estancar as tentativas de infecção pela botnet Mirai. A urgência na aplicação dos patches oficiais permanece como recomendação central, mas o pânico inicial perde sustentação diante da resiliência demonstrada pelas configurações padrão e pelas defesas de rede.
O episódio evidencia que a disponibilidade pública de um código de exploração não se traduz automaticamente em comprometimento em massa, especialmente quando a vulnerabilidade exige alinhamento rigoroso de variáveis de ambiente.