Dois dias após a liberação de atualizações de emergência para corrigir duas falhas críticas no PHP, cibercriminosos começaram a explorar as brechas para tentar espalhar a rede de robôs maliciosos Mirai. O movimento acendeu o alerta em governos e empresas globais. No entanto, relatórios de diversas empresas de segurança digital confirmam que, até o momento, nenhuma invasão obteve sucesso em sistemas reais.
Com o nome conjunto de PHP2Shell, as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 receberam nota de gravidade 9,2 (em uma escala de 10) e afetam o motor da linguagem PHP, usada para o funcionamento de grande parte dos sites no mundo. A falha permite que invasores tomem o controle de servidores sem precisar de senha ou login. A descoberta inicial partiu de pesquisadores das empresas Wiz, OpenAI e Calif, e a correção oficial saiu nesta quarta-feira (21) pelas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP.
Apesar da gravidade, a aplicação prática do ataque se mostrou extremamente difícil. A empresa Sophos identificou tentativas de instalar uma variante do malware Mirai, chamada Potassium, mas todas as investidas foram impedidas antes que os arquivos chegassem aos computadores das vítimas, conforme detalhado no relatório de segurança. Análises da Arctic Wolf também conectaram executáveis do Potassium aos servidores que hospedavam arquivos de ataque do PHP2Shell, sem registros de infecção concluída.
“A ausência de explorações bem-sucedidas no mundo real sugere que os próprios criminosos estão enfrentando dificuldades”, afirmaram os pesquisadores da Sophos. Paralelamente, a equipe de testes da big tech tentou criar um código capaz de dominar um sistema usando as falhas e encontrou barreiras complexas, mesmo com o apoio de ferramentas de inteligência artificial (IA). A empresa Sansec foi outra a identificar que os códigos de invasão públicos falham contra instalações do PHP mantidas em configurações padrão.
Para o executivo principal de Segurança da Informação da SOCRadar, Ensar Seker, a preocupação do mercado é plenamente justificável por afetar o núcleo da linguagem:
Seker acrescentou que a Amazon Threat Intelligence detectou tentativas em seus sistemas de atração no dia 17 de outubro, antes mesmo da divulgação pública. “Avalio que a atividade observada segue um padrão familiar: os invasores identificam uma vulnerabilidade potencialmente valiosa, desenvolvem ferramentas e varrem sistemas alcançáveis. A atenção pública pode acelerar esse processo, mas a atividade não pode ser explicada apenas como uma reação às manchetes”, avalia Seker, em análise enviada ao TecMundo.
Escudo de memória e barreiras técnicas
O principal obstáculo para os invasores é uma proteção de memória presente nos sistemas operacionais modernos, conhecida pela sigla ASLR. Ela funciona como uma espécie de embaralhador do mapa de memória do computador, o que impede que o código malicioso saiba exatamente para onde ir ao tentar assumir o controle do sistema.
A empresa de segurança VulnCheck informou ter conseguido criar um método para burlar essa proteção em ambientes de teste. Contudo, essa ferramenta de invasão só está disponível para os clientes de sua plataforma de inteligência de ameaças e depende de condições muito específicas para funcionar.
Em contrapartida, a empresa de segurança Wordfence analisou mais de 74 mil tentativas de ataque e sondagens bloqueadas pelos sistemas em mais de cinco milhões de sites e também confirmou que nenhum cliente sofreu invasão efetiva.
“Até o momento, não observamos nenhuma invasão confirmada resultante dessas vulnerabilidades, o que é um indicador claro da complexidade desse ataque”, destacou a equipe de análise da Wordfence.
Relatórios publicados pela SOCRadar reforçam essa leitura. A companhia localizou um servidor usado por um invasor que deixou os arquivos expostos na internet. Nos documentos, havia um roteiro de ataque criado para invadir servidores com uma versão específica do PHP. O criminoso testou a ferramenta contra 123 servidores de empresas de hospedagem e provedores de internet. O levantamento da Hunt.io, que também investigou o mesmo servidor exposto, confirmou que o hacker realizou dez rodadas de testes e obteve zero invasões concluídas.
Milhões de servidores continuam desatualizados
Enquanto os ataques enfrentam barreiras técnicas, a lentidão na aplicação das correções mantém uma grande superfície de risco exposta na internet. Um levantamento publicado pela Qualys, baseado em dados anonimizados de 12 mil clientes, revelou que 110 milhões de instâncias de PHP rodam versões antigas que já perderam o suporte oficial do fabricante, entre as edições 5.4 e 8.1. O progresso dessas atualizações pode ser acompanhado em tempo real no painel mantido pela Censys.
Servidores antigos não recebem correções automáticas do projeto principal do PHP, o que exige que administradores atualizem todo o sistema ou busquem pacotes adaptados por distribuições Linux. Apenas 199 mil sistemas aplicaram as correções nas primeiras 12 horas após o lançamento dos patches oficiais, segundo a Qualys.
A recomendação de todos os órgãos de segurança é que os administradores apliquem as correções imediatamente e reiniciem os serviços de hospedagem web. A equipe do PHP emitiu, nesta sexta-feira (23), um alerta complementar recomendando a desativação do recurso de progresso de envio de arquivos em sessões enquanto prepara uma correção para outra falha correlata, identificada como CVE-2026-115560.
“Minha conclusão prática é que as organizações precisam de um processo capaz de identificar a responsabilidade sobre o sistema, aplicar proteções temporárias e implantar correções verificadas em poucas horas quando um serviço crítico exposto estiver em risco”, concluiu Ensar Seker.
Leia sobre o caso “PHP2Shell” de maneira detalhada. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.