Falhas críticas no PHP são exploradas em ataques reais no Brasil e no mundo
Publicado em · Atualizado em
Destaques
- Vulnerabilidades críticas no PHP, conhecidas como PHP2Shell, estão sendo ativamente exploradas em ataques cibernéticos globais.
- Órgãos federais brasileiros foram orientados a restringir o acesso ao Sistema Eletrônico de Informações (SEI) devido às falhas.
- Especialistas recomendam a atualização imediata do PHP e a revisão de configurações de segurança para mitigar os riscos.
Vulnerabilidades críticas no PHP, apelidadas de PHP2Shell, deixaram de ser apenas um alerta e passaram a ser exploradas em ataques reais em todo o mundo. Até 9 de novembro, a GreyNoise registrou 1.215 explorações bem-sucedidas, originadas de 682 endereços IP distintos. As falhas, divulgadas oficialmente em 21 de outubro, afetam o gerenciamento de memória do interpretador PHP e permitem a execução remota de código sem autenticação, recebendo nota 9,2 no CVSS v4.0, escala que mede a gravidade de vulnerabilidades.
Ataques e Repercussão Global
O caso mobilizou governos e empresas em poucos dias. Nos Estados Unidos, a Palo Alto Networks confirmou ataques contra firewalls da marca, onde invasores combinaram o PHP2Shell com uma falha no kernel Linux para obter acesso root. O Centro Nacional de Segurança Cibernética dos Países Baixos (NCSC) chegou a tirar o próprio site do ar, e a NSA recomendou a atualização imediata dos sistemas americanos. A empresa de software de RH BambooHR suspendeu seus serviços brevemente.
Brasil sob Alerta
No Brasil, órgãos federais foram orientados pelo Ministério da Gestão e da Inovação em Serviços Públicos (MGI) a restringir o acesso ao Sistema Eletrônico de Informações (SEI) e admitiram a suspensão preventiva do sistema até a aplicação das correções. O CTIR.Gov, centro de resposta a incidentes do governo federal, publicou o Alerta 93/2026. Segundo um levantamento da MODAT citado pela Vision Cybersecurity, o Brasil possuía, em 20 de outubro, 52.716 hosts com mais de 120 mil serviços PHP acessíveis pela internet, sendo a sétima maior concentração entre os países analisados.
Cronologia e Recomendações
A AWS detectou tentativas de exploração em sua rede de honeypots em 17 de outubro, quatro dias antes da divulgação oficial. Detalhes das falhas vazaram antes do previsto, levando o projeto PHP a antecipar o anúncio e a liberação de versões corrigidas (8.2.35, 8.3.36, 8.4.27 e 8.5.12). Em 23 de outubro, uma terceira falha (CVE-2026-115560), ligada ao processamento de sessões durante o envio de arquivos, foi revelada, com correção prevista para o próximo ciclo regular. A CISA, agência de cibersegurança dos EUA, incluiu as falhas em seu catálogo de vulnerabilidades exploradas, com prazo para correção em agências federais. A Vision Cybersecurity recomenda a atualização do PHP para as versões corrigidas, a confirmação da aplicação das atualizações e a revisão das configurações de sessão, mesmo em servidores já atualizados, pois as tentativas de exploração devem continuar.
