Na semana passada, foram divulgados detalhes sobre duas vulnerabilidades críticas no PHP, linguagem de programação do lado do servidor bastante usada no desenvolvimento web.

A notícia levou órgãos governamentais a publicar alertas de segurança e fez com que administradores de sites corressem para aplicar as correções disponíveis. Alguns serviços chegaram a ficar fora do ar temporariamente como medida preventiva.

Isso acontece porque, em um servidor vulnerável, um invasor pode explorar essas falhas para executar código remotamente sem precisar de autenticação. Estima-se que cerca de três em cada quatro sites usem PHP de alguma forma, seja diretamente ou por meio de aplicações e plataformas que dependem dele. Essa adoção em massa amplia muito o impacto potencial de qualquer vulnerabilidade crítica.

Este post resume os principais pontos abordados por Tony Anscombe, Chief Security Evangelist da ESET, no vídeo “PHP2Shell: What to know about two critical PHP flaws”, disponível em inglês:

Como explica Anscombe, quando boa parte da internet depende de uma mesma tecnologia, qualquer vulnerabilidade grave pode se tornar rapidamente um problema de alcance global. Foi exatamente o que aconteceu com o PHP2Shell, nome dado às vulnerabilidades CVE-2026-109618 e CVE-2026-109619. A ampla adoção faz do PHP um componente essencial da infraestrutura web, mas também um alvo especialmente interessante para cibercriminosos.

No vídeo, Anscombe aponta que as vulnerabilidades receberam nota 9,2 de 10 na escala CVSS porque permitem a execução remota de código (RCE). Isso poderia dar a um invasor o controle de um servidor vulnerável sem necessidade de autenticação.

As falhas ficaram ocultas por mais de uma década. Elas foram identificadas por pesquisadores que usaram modelos avançados de inteligência artificial para analisar código e detectar erros de alta complexidade, e em seguida foram comunicadas de forma responsável aos mantenedores do Projeto PHP. No entanto, a existência das vulnerabilidades vazou pouco antes da publicação oficial das correções, o que abriu uma janela de oportunidade para que grupos cibercriminosos começassem a identificar possíveis alvos.

De fato, logo após a divulgação dos detalhes técnicos, foi observada uma intensa atividade de varredura em servidores expostos à internet em busca de sistemas vulneráveis. Embora até agora não tenha sido relatada exploração em massa, os especialistas recomendam agir rápido e não presumir que a ausência de atividade suspeita signifique que os sistemas não foram atacados.

O que administradores e equipes de TI devem fazer

Os especialistas recomendam agir sem demora:

  • Identificar todos os sistemas e aplicações que usam PHP, incluindo soluções de terceiros que possam utilizá-lo de forma transparente.
  • Atualizar imediatamente os servidores expostos à internet para as versões corrigidas ([versões]).
  • Caso sejam usadas versões legadas que não recebem mais suporte, aplicar as medidas de mitigação recomendadas pelos mantenedores do projeto.
  • Desconectar temporariamente os sistemas afetados se não for possível aplicar as correções de imediato.
  • Analisar logs, indicadores de comprometimento (IoCs) e outros recursos de monitoramento para detectar possíveis sinais de atividade maliciosa.

Por fim, os especialistas lembram que a ausência de evidência não é evidência de ausência. Diante da rapidez com que surgiram tentativas de identificar servidores vulneráveis após a divulgação das falhas, é recomendável verificar a integridade dos sistemas mesmo depois de aplicar as atualizações.

Para conhecer as medidas de mitigação detalhadas e outras informações, consulte os alertas publicados pelo Projeto PHP, pela CISA, pelo CERT-EU ou pelo NCSC.