Crédito: Mixvale.com.br
A fundação responsável pela linguagem de programação PHP liberou, nesta quarta-feira (21), uma série de atualizações de segurança urgentes. O objetivo é neutralizar duas vulnerabilidades severas que permitem a execução remota de código, batizadas coletivamente de PHP2Shell. Com uma classificação de risco de 9,2 em 10, essas brechas representam uma ameaça significativa, considerando que a tecnologia é a base de aproximadamente 70% dos portais e servidores web em todo o mundo, incluindo plataformas amplamente utilizadas como WordPress, Drupal, Joomla e Magento.
O elevado potencial para invasões levou à suspensão temporária de diversos endereços eletrônicos governamentais e à emissão de comunicados de alerta por parte de entidades dedicadas à segurança cibernética. “Esta não é uma simulação”, advertiu Lukasz Olejnik, consultor independente de segurança e pesquisador sênior visitante do King’s College London. A empresa watchTowr, especializada em cibersegurança, classificou as falhas com a nota máxima de 10,0 e confirmou que já se observam tentativas de exploração. Jake Knott, chefe de inteligência de ameaças da watchTowr, declarou: “Como era de se esperar, a watchTowr Intel já está monitorando a exploração ativa das mais recentes vulnerabilidades do PHP. Embora ninguém tenha tido sucesso até o momento, não esperamos que isso dure muito.”
Identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, as falhas possibilitam que agentes mal-intencionados executem comandos arbitrários à distância sem a necessidade de credenciais ou autenticação prévia. Segundo a PHP Foundation, não existem paliativos capazes de mitigar completamente o risco, o que torna a aplicação imediata das atualizações a única medida eficaz para administradores de sistemas que buscam proteger suas infraestruturas.
A vulnerabilidade CVE-2026-109618 surge de uma condição de corrupção de memória que ocorre quando o limite de memória por requisição é excedido (situação conhecida como “out-of-memory”). Além de abrir caminho para a execução de código malicioso à distância, essa brecha pode levar ao vazamento de dados temporários. Isso inclui informações confidenciais como senhas, tokens de sessão, chaves de API (interface de programação de aplicações) e chaves privadas de segurança TLS, pertencentes a outras requisições que foram processadas no mesmo servidor, ampliando o escopo do perigo.
Por sua vez, a falha CVE-2026-109619 decorre de um estado interno de requisição que permanece ativo mesmo após a memória associada ser liberada pela função longjmp(), usada no tratamento de erros fatais. Essa condição permite que uma solicitação subsequente no mesmo processo acesse e reutilize dados já obsoletos. O cenário se agrava em servidores configurados com o software Apache e o módulo mod_php, onde uma única requisição HTTP não autenticada pode disparar o erro antes mesmo que qualquer código da aplicação seja executado, tornando a exploração ainda mais direta e perigosa.
Curiosamente, ambas as vulnerabilidades estavam presentes no código-fonte do PHP há mais de uma década, com suas origens remontando à série PHP 5. No entanto, elas nunca haviam sido corrigidas, pois os desenvolvedores não consideravam que um ataque pudesse, na prática, explorar tais condições. A identificação dessas falhas ocorreu de forma independente e com a ajuda de inteligência artificial: em agosto de 2026, o pesquisador Ryan Austin, da empresa de segurança Calif, conseguiu localizar o problema usando o modelo GPT-5.6 Sol, como parte da iniciativa Patch the Planet, da OpenAI.
Paralelamente, um grupo de pesquisadores da Wiz Research — Sagi Tzadik, Shir Tamari, Nir Ohfeld e Tomer Schwartz — também descobriu as mesmas vulnerabilidades. A equipe da Wiz Research, empresa pertencente ao Google, utilizou as ferramentas Wiz Atlas, Gemini 4 Argon e, coincidentemente, o mesmo modelo GPT-5.6 Sol para chegar às suas conclusões, confirmando a eficácia da IA na detecção de falhas complexas.
A OpenAI classificou a descoberta antecipada dessas falhas como uma “Janela do Defensor”, destacando a importância de identificar vulnerabilidades antes de sua exploração em massa. A empresa anunciou um investimento de US$ 1 bilhão em acesso subsidiado à iniciativa Daybreak for Frontline Defenders, programa voltado para organizações com recursos limitados de proteção digital. Em um comunicado oficial, a OpenAI afirmou: “Dada a gravidade dessas falhas e o uso disseminado do PHP, consideramos este um dos problemas de segurança mais impactantes da memória recente.” A Calif, embora celebrasse a descoberta, também ponderou sobre as limitações da automação na busca por erros digitais. “Nenhum modelo é simplesmente capaz de desenterrar ‘todos os bugs’ com comandos simples. Pelo menos por enquanto”, avaliou a empresa em seu relatório.
Após detalhes sobre a existência das brechas terem vazado em fóruns na terça-feira (20), o que levou a equipe do PHP a emitir um aviso prévio, a empresa de segurança Sansec estimou que ataques em massa poderiam começar apenas 15 minutos após a publicação das correções. Antecipando-se a essa ameaça, na madrugada desta quarta-feira (21), aproximadamente nove horas antes da divulgação pública dos pacotes de atualização, a Cloudflare, cujo diretor de tecnologia (CTO) é Dane Knecht, agiu proativamente.
A Cloudflare implementou regras de proteção por padrão em seu firewall de aplicação web (WAF) para todos os seus clientes, tanto gratuitos quanto pagos. Essa medida permitiu que a empresa detectasse tentativas reais de invasão horas antes da liberação oficial do pacote de atualização, demonstrando a importância de uma defesa em camadas e da antecipação em cenários de risco cibernético.
Como uma precaução adicional, enquanto aguardavam a instalação dos pacotes de segurança, instituições na Finlândia, França e Países Baixos optaram por retirar seus portais da internet temporariamente. Entre os sites desativados estavam o Centro Nacional de Cibersegurança holandês, a Câmara dos Representantes dos Países Baixos, o Porto de Roterdã, o portal Security.NL e a plataforma Phabricator, da fundação Wikimedia, evidenciando a seriedade da ameaça e a necessidade de medidas drásticas.
Agências governamentais de diversos países e blocos, incluindo os Estados Unidos (NSA), União Europeia (CERT-EU), Reino Unido, Austrália, Finlândia, Países Baixos e Japão, emitiram comunicados urgentes. Todos eles recomendavam a aplicação imediata das atualizações ou o desligamento provisório dos servidores comprometidos, sublinhando a gravidade da situação em escala global e a coordenação internacional para mitigar os riscos.
No Japão, a primeira-ministra Sanae Takaichi divulgou um alerta direto, direcionado tanto a administradores públicos quanto privados. “A equipa de segurança do PHP emitiu um alerta sobre duas vulnerabilidades graves. Verifiquem se estão a utilizar PHP nos vossos sites públicos e preparem-se para aplicar, o mais rapidamente possível, a correção que será publicada esta noite”, declarou a premiê, reforçando a urgência da ação preventiva.
