CISA alerta: hackers já exploram falhas críticas no PHP, usado em 70% da web
A agência de cibersegurança dos EUA confirmou ataques ativos contra duas vulnerabilidades no PHP e deu três dias para órgãos federais corrigirem os sistemas. O problema afeta diretamente quem administra sites e servidores baseados na linguagem.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
A CISA (Cybersecurity and Infrastructure Security Agency), agência do governo dos EUA responsável por monitorar ameaças digitais ao país, confirmou que hackers estão explorando ativamente duas falhas críticas no PHP, linguagem de programação usada para construir boa parte dos sites da internet — a própria CISA estima que ela esteja presente em cerca de 70% dos servidores web do mundo.
As vulnerabilidades, batizadas de PHP2Shell e catalogadas como CVE-2026-109618 e CVE-2026-109619, receberam nota 9.2 em uma escala de gravidade que vai até 10. Segundo a CISA, elas podem ser exploradas sem necessidade de senha, permitindo que um invasor assuma o controle remoto de um servidor vulnerável pela internet.
A agência confirmou a exploração ativa na segunda-feira (26/10) e incluiu as falhas em seu catálogo de vulnerabilidades conhecidas, dando a órgãos federais americanos até 29 de outubro para aplicar as correções — um prazo curto, de apenas três dias. Pesquisadores de segurança da Perplexity e da Universidade de Delft, além da AWS, já tinham documentado tentativas de ataque antes mesmo da divulgação pública dos patches, em 21 de outubro. Um dos pesquisadores da Perplexity registrou dezenas de execuções de código bem-sucedidas em sistemas-isca (honeypots) usados para flagrar invasores.
Quem é afetado
A ordem da CISA vale oficialmente para agências federais civis dos Estados Unidos, mas o alerta serve como sinal de risco para qualquer administrador de sites, aplicações ou servidores que rodam PHP — o que inclui uma fatia enorme da web, de blogs a sistemas de e-commerce. Como a exploração não exige autenticação prévia, qualquer servidor desatualizado e exposto à internet é um alvo em potencial.
O que fazer agora
Quem administra sites ou servidores baseados em PHP deve agir sem demora. As correções já estão disponíveis desde 21 de outubro. Recomendações práticas:
- Atualizar o PHP para uma das versões corrigidas: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, dependendo do ramo de lançamento usado no servidor;
- Verificar com a equipe de TI ou provedor de hospedagem se a atualização já foi aplicada, especialmente em sites de terceiros ou plataformas administradas;
- Monitorar logs do servidor em busca de atividade suspeita, já que a exploração ativa começou antes mesmo da divulgação pública da falha;
- Isolar ou restringir o acesso externo a sistemas que não possam ser atualizados imediatamente, reduzindo a superfície exposta à internet;
- Acompanhar boletins da CISA e de fornecedores de hospedagem para novas orientações sobre o caso.
A recomendação geral de especialistas em segurança é tratar essa atualização como prioridade imediata, e não como tarefa de rotina — o histórico de exploração rápida após a divulgação de falhas desse tipo tende a se repetir.