CISA alerta para exploração ativa de falhas críticas no PHP
Destaques
- •Duas vulnerabilidades críticas no PHP, conhecidas como "PHP2Shell", estão sendo ativamente exploradas em ataques cibernéticos globais.
- •A CISA ordenou que agências federais dos EUA apliquem patches de segurança com urgência, devido ao risco para milhões de sistemas que utilizam a linguagem, que sustenta 70% dos sites da internet.
- •Especialistas alertam que a mitigação completa exige varredura de arquivos maliciosos e troca de credenciais, pois a intrusão inicial pode ter ocorrido por outros vetores.
A Agência de Cibersegurança e Infraestrutura dos Estados Unidos (CISA) confirmou nesta segunda-feira (26) que duas vulnerabilidades críticas na linguagem de programação PHP, apelidadas de "PHP2Shell", estão sendo ativamente exploradas em ataques cibernéticos. As falhas, rastreadas como CVE-2026-109618 e CVE-2026-109619, afetam o núcleo do PHP e permitem que criminosos executem códigos remotamente sem a necessidade de privilégios ou senhas.
A CISA emitiu uma ordem direta para que agências federais norte-americanas apliquem os patches de segurança em seus servidores antes de prazos rigorosos, destacando o risco iminente para milhões de sistemas vulneráveis na internet. A linguagem PHP é amplamente utilizada, sustentando cerca de 70% dos sites globais, com mais de 5,1 milhões de hosts expostos e 3,8 milhões de instâncias vulneráveis, segundo dados do VirusTotal.
Ameaça em larga escala e exploração antecipada
Relatórios de empresas de cibersegurança como Cloudflare, Hadrian e Previdian indicam que tentativas de exploração em massa começaram antes mesmo da divulgação oficial dos patches pelos desenvolvedores do PHP. Especialistas da watchTowr confirmaram a circulação de códigos maliciosos direcionados a essas brechas, alertando que a exploração atinge servidores expostos com configurações vulneráveis.
A equipe da watchTowr destacou a necessidade de os administradores priorizarem a atualização imediata de seus ambientes para evitar comprometimentos. A urgência se deve ao fato de que essas vulnerabilidades representam um vetor de ataque frequente para criminosos cibernéticos, oferecendo riscos severos aos sistemas.
Extorsão e campanhas paralelas no Japão
Investigações complementares da Unidade de Pesquisa de Ameaças da SOCRadar revelaram que uma infraestrutura ligada a operadores maliciosos também foi utilizada em campanhas de extorsão contra o setor imobiliário no Japão. Criminosos comprometeram servidores para extrair bancos de dados com informações confidenciais de usuários, incluindo credenciais e dados financeiros.
O material roubado foi usado para pressionar as empresas afetadas. A análise forense da SOCRadar demonstrou que ferramentas associadas ao PHP2Shell foram integradas aos servidores dos atacantes logo após a divulgação das falhas. No entanto, a intrusão inicial em alguns casos ocorreu por meio de credenciais reutilizadas e falhas de configuração em ambientes de hospedagem compartilhada, evidenciando que a ameaça vai além de uma única vulnerabilidade de software.
Mitigação e próximos passos
Pesquisadores de segurança da SOCRadar ressaltam que apenas aplicar o patch do PHP não é suficiente para reverter um ataque caso o servidor já tenha sido invadido. O processo de mitigação exige uma varredura completa em busca de arquivos maliciosos ocultos, verificação de tarefas agendadas e a troca integral de chaves de acesso e senhas.
A urgência na aplicação das correções e na realização de verificações de segurança é crucial para proteger os sistemas contra a exploração ativa dessas vulnerabilidades críticas.
