Duas falhas críticas no PHP levam governos a tirar sites do ar

O que aconteceu

Em 21 de outubro, o time de segurança do PHP — linguagem de programação usada para criar a parte dinâmica de sites, de lojas virtuais a portais de governo — divulgou duas falhas críticas, batizadas informalmente de "php2shell": CVE-2026-109618 e CVE-2026-109619. Ambas receberam nota 9,2 (crítico) na escala CVSS 4.0 e permitem execução remota de código sem necessidade de autenticação em qualquer instalação PHP que processe requisições web. A primeira falha corrompe memória quando o sistema interrompe o PHP com dados de uma requisição parcialmente processados; a segunda ocorre quando informações de uma requisição continuam na memória depois de liberadas e podem ser reaproveitadas por outra requisição no mesmo processo.

Quem é afetado

O PHP move 69,3% dos sites cuja linguagem de servidor é conhecida, segundo o instituto de pesquisa W3Techs — o que torna o alcance do problema praticamente global. Por precaução, agências de governos europeus tiraram sistemas do ar, caso dos serviços de identidade digital holandeses DigiD e MijnOverheid, além de plataformas no Japão. No Brasil, a Anatel e tribunais suspenderam sistemas enquanto avaliavam o risco.

O que fazer agora

Atualizar o PHP imediatamente para as versões corrigidas: 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.
Quem não conseguir aplicar o patch de imediato deve isolar o sistema afetado da internet — recomendação reforçada pelo CERT-EU (equipe europeia de resposta a incidentes de segurança) e pelo NCSC (centro de segurança cibernética do Reino Unido), já com relatos de exploração ativa por atacantes.
Administradores de sites pequenos e médios, que costumam demorar mais pra atualizar, são o grupo de maior risco — vale checar a versão do PHP em uso mesmo sem sinal visível de problema.

Foto: reprodução/ncsc.gov.uk

Não é motivo de pânico pra quem já aplicou o patch: as falhas são graves, mas corrigidas, e não afetam quem já está nas versões atualizadas.

Atualização (22/10, 15:46): Um relatório da Amazon Threat Intelligence revela que as falhas do PHP2Shell já estavam sendo exploradas dias antes de o patch oficial ser lançado. Segundo a Amazon, a primeira tentativa foi detectada no sábado, 17 de outubro, pela MadPot, rede de honeypots da empresa — quatro dias antes de a PHP Foundation lançar as correções, em 21 de outubro.

CJ Moses, diretor de segurança da informação (CISO) da Amazon, afirmou que a "tentativa de exploit se originou de um endereço IP associado a uma rede comercial de anonimização", e que "permanece incerto como o ator obteve informações do exploit antes da divulgação pública" — um possível vazamento durante o embargo de segurança que normalmente protege esse tipo de correção coordenada. Horas após o anúncio público, a Amazon registrou múltiplos exploits de prova de conceito vindos de diferentes IPs, com variação nos payloads, sinal de que vários grupos distintos passaram a atacar a falha ao mesmo tempo.

Atualização (22/10, 21:57): A Amazon Web Services (AWS) revelou que identificou tentativas de exploração das falhas críticas no PHP quatro dias antes da divulgação oficial do alerta de segurança. Segundo a empresa, o primeiro ataque suspeito foi registrado em 17 de outubro, partindo de um endereço IP associado a um serviço comercial de anonimização (como proxy ou VPN), detectado pela rede de servidores-isca (honeypots) da AWS, chamada MadPot.

A escalada mais significativa ocorreu em 21 de outubro, cerca de 12 horas antes da liberação oficial das correções, quando novos ataques — vindos de infraestruturas diferentes e usando códigos maliciosos distintos — sugeriram a atuação de múltiplos grupos. Até o momento, porém, a PHP Foundation afirma não haver confirmação de um ataque bem-sucedido com execução remota de código, e ainda não está claro como os invasores obtiveram informações sobre a vulnerabilidade antes da divulgação pública.

Atualização (23/10, 00:59): A Amazon Web Services (AWS) revelou que as duas falhas críticas do PHP (CVE-2026-109618 e CVE-2026-109619, ambas com gravidade 9,2 em escala de 0 a 10) já eram alvo de tentativas de exploração por hackers desde 17 de outubro, quatro dias antes da divulgação oficial das correções, em 21 de outubro. A descoberta foi feita pela rede de servidores-isca MadPot, da própria AWS, que identificou as primeiras tentativas de ataque partindo de um endereço IP associado a um serviço comercial de anonimização, como uma VPN ou rede de proxies.

Segundo a empresa, as tentativas de invasão se intensificaram a partir de 21 de outubro, e a Cloudflare chegou a registrar dezenas de milhares de tentativas de exploração nos primeiros 45 minutos após a divulgação pública das vulnerabilidades, com atacantes adaptando o código para contornar as proteções já implementadas. Até o momento, a PHP Foundation afirma não ter conhecimento de nenhuma invasão bem-sucedida usando as falhas.