A CISA, agência de cibersegurança do governo dos Estados Unidos, incluiu na segunda-feira (26) duas falhas críticas do PHP em seu catálogo de vulnerabilidades exploradas ativamente. Rastreadas como CVE-2026-109618 e CVE-2026-109619 e apelidadas em conjunto de PHP2Shell, elas permitem execução remota de código em servidores sem login nem privilégio prévio. Com a inclusão, órgãos federais americanos ficam obrigados a corrigir seus sistemas dentro de prazos definidos pela agência.
Exploração começou antes do patch
Os mantenedores do PHP já publicaram correções para as versões com suporte. O problema é o calendário. Cloudflare, Hadrian e Previdian relataram tentativas de exploração em massa antes da divulgação oficial dos patches. A Previdian registrou em seus honeypots, em 20 de outubro, requisições HTTP vindas de dois IPs com código PHP de teste embutido no nome de arquivos enviados, sondando o mecanismo de progresso de upload. A watchTowr, outra empresa do setor, confirmou que código de ataque contra as brechas já circula.
O alcance potencial é grande porque a falha está no núcleo da linguagem, e não em um plugin ou framework específico. Levantamentos citados no caso apontam mais de 5,1 milhões de hosts com PHP expostos na internet e 3,8 milhões de instâncias vulneráveis.
Patch não limpa servidor já invadido
A SOCRadar ligou infraestrutura usada nesses ataques a uma campanha de extorsão contra imobiliárias no Japão, em que bancos de dados com credenciais e dados financeiros foram roubados e usados para pressionar as empresas. Segundo a análise forense da empresa, a entrada inicial veio de senhas reutilizadas e configurações erradas em hospedagem compartilhada; as ferramentas do PHP2Shell foram adicionadas depois. Por isso, quem atualizar um servidor que pode já ter sido comprometido precisa procurar arquivos maliciosos escondidos, revisar tarefas agendadas e trocar todas as senhas e chaves de acesso.
Desafio com Bitcoin mostrou o ataque na prática
No sábado (24), o pesquisador James Pavur lançou o “Steal My Bitcoin”, um desafio no formato CTF que oferecia uma carteira de criptomoeda a quem invadisse seu servidor usando o PHP2Shell. A primeira versão tinha um defeito: a página era HTML estático, sem nenhum arquivo PHP para atacar, como apontou o pesquisador do canal LiveOverflow. Pavur corrigiu o alvo no domingo (25).
Depois da troca, o britânico Jaydip Modhwadia, de 26 anos, conhecido como “Killa”, tomou o servidor às 12h47 (horário de Brasília), em cerca de três horas de trabalho. Ele publicou o passo a passo no GitHub. A comunidade engordou o prêmio de US$ 500 para US$ 2 mil (perto de R$ 10.900), e Modhwadia, que tem lúpus, doou parte do valor à Lupus Foundation.
Alon Gal, cofundador e diretor de tecnologia da Hudson Rock, ponderou que o caso não significa que agentes de IA consigam comprometer servidores PHP em escala, já que o exploit foi sofisticado e feito sob medida para aquele alvo. Ainda assim, ficou provado que a falha funciona contra um sistema real. Spencer McIntyre, da VulnCheck, disse que criminosos seguem desenvolvendo novas formas de ataque baseadas no PHP2Shell.
O que fazer
Quem mantém site em PHP, em servidor próprio ou em hospedagem compartilhada, deve instalar agora a versão corrigida do seu ramo e confirmar com o provedor se a atualização já foi aplicada. Se o servidor ficou exposto desde 20 de outubro, data das primeiras sondagens registradas, a varredura recomendada pela SOCRadar também vale.
