Na quarta-feira, uma tecnologia de rede de código aberto com décadas de história, o PHP, quase paralisou a internet devido a duas vulnerabilidades que, após anos adormecidas, foram recentemente descobertas por pesquisadores como exploráveis.
Essas vulnerabilidades são chamadas de PHP2Shell e possuem números oficiais CVE-2026-109618 e CVE-2026-109619. Em termos simples, essas vulnerabilidades permitem que qualquer pessoa que saiba como explorá-las invada sistemas online que executam PHP, como sites ou servidores expostos à internet, sem precisar de senha, acessando ou modificando os dados neles contidos.
Do ponto de vista da gravidade do incidente, este evento foi significativo, forçando milhões de pessoas em todo o mundo a aplicar patches no sistema urgentemente antes que hackers maliciosos os explorassem.
A PHP Foundation, responsável pela manutenção de software web em PHP, lançou publicamente um patch de correção na quarta-feira, que, após instalação, impede servidores expostos à web de serem atacados. Anteriormente, a fundação já havia fornecido acesso antecipado à correção para algumas das maiores empresas de internet e provedores de hospedagem web que dependem do PHP.
Graças a semanas de comunicação discreta e coordenação cuidadosa dentro da indústria, o mundo evitou em geral o uso em larga escala da internet. A partir de quarta-feira, governos de vários países começaram a incentivar cidadãos e empresas com sites a tomar medidas para reduzir seus próprios riscos. Bancos, varejistas, sites de jogos, lojas online, hospitais e algumas agências governamentais desligaram seus servidores para evitar ataques.
Mas pesquisadores de segurança alertaram que a situação ainda não acabou, pois muitos sistemas em todo o mundo ainda não foram corrigidos e permanecem vulneráveis a invasões e roubo de dados.
Isso também provavelmente não será a última grande crise de software da internet. Alguns esperam que o surgimento da inteligência artificial descobrirá rapidamente mais vulnerabilidades ainda não identificadas, aguardando para serem encontradas e exploradas.
What happened?
Pesquisadores de segurança da Califórnia descobriram duas vulnerabilidades no PHP. O PHP é uma linguagem de programação amplamente utilizada globalmente para construir sites e aplicações web, tanto na internet quanto em sistemas hospedados localmente em redes corporativas, como intranets e sites internos.
Essas vulnerabilidades foram descobertas pela primeira vez em 2024, mas na época não foram consideradas exploráveis, portanto não foram corrigidas. Pesquisadores de segurança recentemente encontraram maneiras de explorá-las e alertaram os desenvolvedores do software para corrigi-las o mais rápido possível.
Calif notificou a PHP Foundation, que imediatamente começou a corrigir a vulnerabilidade e coordenar a divulgação. A fundação permitiu que grandes empresas tivessem a oportunidade de instalar a correção antecipadamente, fornecendo informações e patches em um período de confidencialidade estrita — ou seja, mantendo a confidencialidade até uma data limite específica.
Why are these vulnerabilities so severe?
O PHP2Shell é grave porque pode ser explorado remotamente pela internet, e as vítimas não precisam clicar em links nem abrir arquivos. Isso é conhecido como execução remota de código, um dos tipos de vulnerabilidades mais destrutivas, pois pode permitir que hackers de qualquer lugar do mundo tenham controle quase total sobre sistemas afetados e não corrigidos.
Pior ainda, essas vulnerabilidades específicas do PHP permitem que atacantes invadam qualquer sistema não corrigido pela internet sem precisar de senha ou outras credenciais, o que é conhecido como acesso não autenticado.
Isso permitiria que hackers maliciosos instalassem software malicioso no computador, como roubo de dados, ou simplesmente para manter uma presença duradoura, a fim de retornar posteriormente.
Por que 70% das páginas da web são afetadas?
PHP é apenas uma das muitas tecnologias antigas ainda funcionais que sobreviveram a várias evoluções e gerações da internet e hoje estão em toda parte, quase como a cola que sustenta a maior parte da operação da internet. Muitas vezes, essas ferramentas são desenvolvidas por mantenedores de código aberto que não são remunerados por esse trabalho e, portanto, não podem arcar com auditorias de segurança de terceiros — mas as empresas ainda dependem amplamente desses projetos sem fornecer suporte financeiro para eles.
Were these vulnerabilities discovered by artificial intelligence?
Pesquisadores de segurança da Calif foram reconhecidos por descobrir essas vulnerabilidades durante uma auditoria de segurança no código PHP no início deste ano. A Calif participou do programa Hack the Planet, iniciado pela OpenAI e pela gigante de segurança em nuvem Wiz, que posteriormente validou o código de prova de conceito criado pela Calif.
No artigo explicativo de Calif (que também inclui uma tirinha — ótima, vale a pena ler), os pesquisadores explicam que a inteligência artificial foi usada para auxiliar na exploração da vulnerabilidade, mas a maior parte do trabalho ainda depende do conhecimento prévio dos pesquisadores e de sua familiaridade com o código PHP e o histórico de explorações.
Calif escreveu: "Nenhum modelo consegue extrair diretamente 'todos os vazios' apenas com prompts simples. Pelo menos, ainda não."
Por que essas vulnerabilidades já foram exploradas antes da divulgação?
Apesar dos esforços de todas as partes para manter os detalhes da vulnerabilidade em sigilo até quarta-feira, parece que certas explorações do PHP2Shell já ocorreram antes do lançamento do patch.
Devido ao seu grande porte e alta visibilidade, a Amazon possui uma compreensão significativa das ameaças online. A empresa afirmou em um post de blog que detectou indícios de exploração do PHP2Shell cerca de uma semana antes do lançamento do patch PHP, sugerindo que alguém, em algum lugar, já sabia como explorar essas vulnerabilidades antes de seus detalhes serem amplamente divulgados. A Amazon afirmou que ainda não está claro como os invasores obtiveram conhecimento sobre essas vulnerabilidades, mas os defensores devem revisar os registros desde 17 de outubro em busca de evidências de exploração.
Existem várias versões sobre o que aconteceu. Uma vez que a vulnerabilidade foi corrigida, os detalhes do patch podem se tornar imediatamente evidentes, especialmente em código aberto como o PHP, que qualquer pessoa pode visualizar publicamente. Explorar essas vulnerabilidades pode não ser fácil, mas saber onde elas estão e como foram corrigidas pode ajudar hackers maliciosos a identificar alvos e desenvolver código de exploração.
Também é possível que tenha ocorrido um vazamento em algum lugar durante o período de proibição ou que haja uma interrupção na comunicação. A comunidade de código aberto é vasta, e o controle dessa informação dessa maneira depende da boa-fé e cooperação de todas as partes.
Além disso, pode ser que os hackers tenham descoberto essas vulnerabilidades independentemente antes ou tenham obtido conhecimento delas por meio de espionagem.
Pesquisadores afirmam que tornar essas vulnerabilidades verdadeiramente exploráveis exige muito trabalho; armazenar vulnerabilidades sempre foi um desafio — mas não impossível — o que explica por que ainda não vimos cenários de exploração em larga escala.
A internet sofreu uma interrupção em larga escala, mas está se recuperando. Conseguimos evitar o pior cenário?
Ainda é cedo para tirar conclusões, mas até agora não houve sinais de exploração em larga escala, o que é pelo menos um sinal encorajador—no entanto, ainda não saímos completamente da zona de risco.
O CEO da empresa de segurança cibernética e monitoramento Cloudflare, Matthew Prince, disse esta semana que a empresa observou um crescimento exponencial nas tentativas de exploração dessas vulnerabilidades após a divulgação das falhas. Isso também indica, de forma indireta, quão rapidamente os atores maliciosos estão tentando explorar essas falhas para seu próprio benefício.
O PHP é usado não apenas em servidores web, mas também em ferramentas de desenvolvimento, pacotes de linha de comando e terminal, bem como em outros componentes de software utilizados por roteadores, dispositivos de armazenamento e equipamentos de segurança empresarial, como firewalls e VPNs.
É esperado que a exploração do PHP2Shell continue a surgir posteriormente, pois equipes de TI menores e desenvolvedores independentes podem atualizar mais lentamente. Ao mesmo tempo, muitas empresas que integram PHP em seus próprios produtos e softwares também precisam atualizar, o que exigirá um período de transição.
À medida que mais dispositivos e sistemas forem atualizados, a superfície de ataque diminuirá gradualmente. No entanto, os efeitos em cadeia dessas vulnerabilidades ainda podem persistir por anos, especialmente em sistemas legados que não podem ser atualizados.
Will this happen again?
Nestes anos em que atuo como jornalista de segurança, este foi um dia raro e suficientemente grave para paralisar a internet. Em 2016, uma imensa rede de zumbis atacou com tráfego de spam a empresa de registro da internet Dyn, fazendo com que serviços de muitos sites principais ficassem quase inoperantes. Em 2017, a Coreia do Norte infectou o sistema de saúde britânico com ferramentas de hacking vazadas do governo dos EUA e lançou ransomware. Em 2024, uma atualização defeituosa da CrowdStrike causou uma pane global em larga escala, fazendo com que a maioria dos computadores Windows no mundo entrasse em colapso simultaneamente.
De todos os pontos de vista, o PHP2Shell permitiu que a internet evitasse um dia potencialmente extremamente doloroso e destrutivo. Mas é pouco provável que esta seja a última grande ameaça à rede no futuro, e isso pode ser o início de uma série de eventos explorando vulnerabilidades em tecnologias legadas. Em grande parte, isso ocorre porque esses softwares antigos, mas onipresentes, possuem falhas intrínsecas ainda não descobertas, somadas ao fato de que ferramentas de inteligência artificial tornam mais fácil a descoberta de vulnerabilidades.
PHP e outras linguagens e tecnologias de programação web de décadas atrás pertencem ao categoria de software "não seguro em memória", o que significa que podem ser alvo de uma classe inteira de vulnerabilidades que causam vazamento ou estouro de dados sensíveis no armazenamento de memória. A Agência de Segurança Nacional dos Estados Unidos afirma que cerca de 75% das vulnerabilidades atualmente exploradas ativamente aproveitam defeitos relacionados à memória, ou seja, hackers frequentemente utilizam esse tipo de vulnerabilidade.
Isso impulsionou a indústria a adotar linguagens seguras em memória, como Python, Rust e Swift, que não são tão suscetíveis a abusos como vulnerabilidades de memória. Assim, essas linguagens são em grande parte imunes a uma grande quantidade de vulnerabilidades que ainda afetam seus predecessores.
Mas ainda resta uma grande parte da internet rodando PHP, mídia e codecs de vídeo, bibliotecas de compactação e outros softwares de décadas atrás — e quando essas tecnologias apresentam problemas, impactam profundamente toda a rede.