Vulnerabilidade PHP2Shell é explorada em ataques reais; Brasil tem mais de 52 mil hosts expostos

Vulnerabilidades críticas no PHP, apelidadas de PHP2Shell, deixaram de ser um alerta e passaram a ser exploradas em ataques reais. Até 9 de novembro, a GreyNoise registrou 1.215 explorações bem-sucedidas, originadas de 682 endereços IP, em meio a mais de 255 mil sessões de ataque. As falhas, divulgadas oficialmente em 21 de outubro, receberam nota 9,2 no CVSS v4.0, indicando alta gravidade.

As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 afetam o gerenciamento de memória do interpretador PHP e permitem a execução remota de código sem autenticação. O caso mobilizou governos e empresas rapidamente. No Brasil, órgãos federais foram orientados a restringir o acesso ao Sistema Eletrônico de Informações (SEI). Nos Estados Unidos, a Palo Alto Networks confirmou ataques contra firewalls da marca, combinando o PHP2Shell com uma falha no kernel Linux para obter acesso root.

Cronologia da Crise e Exploração

A AWS detectou tentativas de exploração em sua rede de honeypots quatro dias antes da divulgação oficial. Em 20 de outubro, detalhes das falhas vazaram antes do prazo, levando o projeto PHP a anunciar uma atualização emergencial e antecipar a publicação das correções. No dia 21, o PHP liberou as versões corrigidas (8.2.35, 8.3.36, 8.4.27 e 8.5.12), e o CTIR.Gov publicou o Alerta 93/2026. O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) orientou órgãos usuários do SEI a restringir o acesso a sistemas PHP expostos.

No exterior, o Centro Nacional de Segurança Cibernética dos Países Baixos (NCSC) tirou o próprio site do ar, e a NSA recomendou atualização imediata. A empresa de software de RH BambooHR suspendeu seus serviços brevemente. Em 22 de outubro, a VulnCheck demonstrou uma cadeia de exploração funcional, e a Wordfence registrou mais de 74 mil tentativas de ataque bloqueadas.

Novas Falhas e Recomendações Globais

Em 23 de outubro, o PHP revelou uma terceira falha, CVE-2026-115560, ligada ao processamento de sessões durante o envio de arquivos, afetando aplicações com configurações incomuns. A correção foi adiada para o próximo ciclo regular, com orientação provisória de desativar o acompanhamento de progresso de uploads. O NCSC neerlandês avaliou que a exploração em larga escala era menos provável, mas manteve a recomendação de atualização.

Em 26 de outubro, a CISA, agência de cibersegurança dos EUA, incluiu as falhas em seu catálogo de vulnerabilidades exploradas, dando prazo até 29 de outubro para agências federais corrigirem. No fim de outubro, a GreyNoise confirmou ao menos seis explorações bem-sucedidas. Em 2 e 3 de novembro, o número de explorações registradas pela GreyNoise chegou a 1.177, e a Palo Alto Networks confirmou ataques contra firewalls.

Brasil na Mira e Medidas de Segurança

Um levantamento da MODAT, citado pela Vision Cybersecurity, indicou que em 20 de outubro o Brasil possuía 120.472 serviços PHP em 52.716 hosts acessíveis pela internet, a sétima maior concentração global. Apenas 26% desses hosts rodavam versões suportadas do PHP (famílias 8.2 a 8.5). Globalmente, foram identificados 4,38 milhões de serviços PHP em 1,89 milhão de hosts, com cerca de 79% usando famílias sem suporte.

A Vision ressalta que os números medem exposição, não sistemas comprovadamente vulneráveis. As tentativas de exploração devem continuar, principalmente contra ambientes sem correções. A recomendação principal é atualizar o PHP para as versões corrigidas, confirmar a aplicação das atualizações e revisar as configurações de sessão, mesmo em servidores já atualizados.