Falhas críticas no PHP colocam sites e servidores em risco

Duas falhas críticas na linguagem de programação PHP, amplamente utilizada na construção de páginas e aplicações web, colocaram em risco sites, servidores e serviços digitais na última semana. As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619 e apelidadas de PHP2Shell, permitiam que invasores executassem comandos remotamente em sistemas afetados sem a necessidade de senha ou autorização.

A gravidade dos problemas levou diversas empresas, governos e organizações a retirar sistemas do ar temporariamente para aplicar correções de segurança. A resposta coordenada entre pesquisadores e empresas de tecnologia, incluindo a Fundação PHP, ajudou a mitigar uma onda maior de ataques. No entanto, especialistas alertam que muitos sistemas ainda permanecem vulneráveis.

O perigo da execução remota de código

O principal risco das falhas no PHP residia na possibilidade de execução remota de código. Isso significa que um atacante poderia enviar comandos diretamente a um servidor vulnerável pela internet, conseguindo executar ações sem a necessidade de credenciais válidas. Com o controle de um sistema comprometido, criminosos poderiam instalar programas maliciosos, roubar informações sensíveis ou manter acesso persistente à infraestrutura invadida.

A ausência de autenticação exigida para explorar as vulnerabilidades tornava o cenário ainda mais preocupante. Em vez de depender de senhas roubadas ou de engenharia social, o atacante poderia explorar diretamente um servidor que ainda não tivesse recebido a atualização de segurança. O PHP é uma tecnologia de código aberto, gratuita e utilizada há décadas, sendo responsável por cerca de 70% da web acessível pela internet, embora sua participação venha diminuindo.

Sistemas fora do ar e a corrida pela correção

A dimensão do problema levou administradores de sistemas a adotar a medida preventiva de retirar temporariamente serviços da internet até que as correções fossem instaladas. Bancos, lojas, plataformas de jogos, hospitais e órgãos governamentais estiveram entre os setores afetados por essas ações de contenção. A decisão visava reduzir a exposição enquanto equipes de tecnologia identificavam os sistemas vulneráveis e aplicavam os patches disponibilizados pela Fundação PHP.

A preparação para a divulgação das correções envolveu um período de comunicação restrita, onde a fundação compartilhou informações e atualizações com grandes empresas e provedores de hospedagem antes do anúncio público. Isso permitiu que parte da infraestrutura começasse a se proteger antecipadamente. Apesar da coordenação, há indícios de que invasores conseguiram explorar as vulnerabilidades antes da divulgação oficial dos patches, com a Amazon informando ter identificado tentativas de exploração cerca de uma semana antes da disponibilidade das correções.

IA na identificação e o risco persistente

Pesquisadores da empresa Calif identificaram os problemas durante uma auditoria de segurança do código do PHP, como parte da iniciativa Hack the Planet, promovida pela OpenAI e pela empresa de segurança em nuvem Wiz. A inteligência artificial (IA) auxiliou os pesquisadores na análise e exploração das falhas, mas o conhecimento prévio da equipe sobre o código e o histórico de exploração de vulnerabilidades foi crucial para demonstrar como os problemas poderiam ser utilizados em ataques.

O caso evidencia como ferramentas de IA podem ajudar especialistas a encontrar e investigar falhas, mas também ampliam as possibilidades de descoberta de pontos fracos que podem ser explorados por criminosos. A ausência de uma onda generalizada de ataques não significa que os sistemas estejam seguros. Pesquisadores identificaram tentativas de exploração, e empresas de segurança confirmaram atividades maliciosas relacionadas às vulnerabilidades. Matthew Prince, diretor-executivo da Cloudflare, observou um crescimento exponencial nas tentativas de exploração após a divulgação dos problemas.

A situação pode continuar preocupante, pois nem todas as organizações conseguem atualizar seus sistemas rapidamente. Equipes pequenas, desenvolvedores independentes e empresas que utilizam componentes antigos podem levar mais tempo para identificar os sistemas afetados, testar as correções e implantá-las. Além disso, o PHP está presente não apenas em servidores de sites, mas também em ferramentas de desenvolvimento e outros softwares, o que significa que a correção de um servidor não necessariamente elimina todos os pontos vulneráveis de uma infraestrutura.