Duas falhas críticas em uma tecnologia presente em boa parte da internet deixaram sites, servidores e serviços digitais expostos ao longo da última semana. As vulnerabilidades afetaram o PHP, linguagem de programação empregada na criação de páginas e aplicações web, e permitiam que invasores executassem comandos de forma remota sem precisar de senha ou autorização.
A gravidade foi suficiente para que empresas, governos e organizações de setores distintos tirassem sistemas do ar enquanto aplicavam as correções de segurança. A atuação coordenada entre pesquisadores e companhias de tecnologia ajudou a evitar uma onda ainda maior de ataques. Ainda assim, especialistas advertem que muitos sistemas continuam vulneráveis.
As brechas receberam os identificadores CVE-2026-109618 e CVE-2026-109619 e ficaram conhecidas como PHP2Shell. Os problemas já tinham sido detectados anteriormente, mas os pesquisadores só conseguiram demonstrar recentemente como explorá-los de modo eficaz.
Por que as falhas no PHP eram tão perigosas?
- O maior risco estava na possibilidade de execução remota de código. Na prática, isso significa que um invasor poderia enviar comandos a um servidor vulnerável pela internet e executar ações sem precisar de credenciais válidas;
- Com o controle de um sistema comprometido, criminosos poderiam instalar programas maliciosos, roubar informações ou manter acesso persistente à infraestrutura invadida;
- A dispensa de autenticação tornava o cenário ainda mais preocupante. Em vez de depender de uma senha roubada ou de convencer a vítima a abrir um arquivo, o atacante poderia explorar diretamente um servidor que ainda não tivesse recebido a atualização de segurança;
- O PHP é uma tecnologia de código aberto, gratuita e usada há décadas. Cerca de 70% da web acessível pela internet depende da linguagem, embora sua participação venha diminuindo aos poucos;
- Entre os sistemas que usam tecnologias baseadas em PHP estão WordPress, Drupal, Joomla e MediaWiki, plataforma que sustenta a Wikipédia.
Por que tantos sites ficaram fora do ar?
A dimensão do problema fez administradores de sistemas adotarem uma medida preventiva: retirar serviços da internet temporariamente até que as correções fossem instaladas.
Bancos, lojas, plataformas de jogos, hospitais e órgãos governamentais figuraram entre os setores atingidos pelas medidas de contenção. A decisão visava reduzir a exposição enquanto as equipes de tecnologia mapeavam os sistemas vulneráveis e aplicavam os patches liberados pela Fundação PHP.
A preparação para o anúncio das correções também envolveu um período de comunicação restrita. A fundação compartilhou informações e atualizações com grandes empresas e provedores de hospedagem antes da divulgação pública, o que permitiu que parte da infraestrutura começasse a se proteger de antemão.
Apesar da coordenação, existem indícios de que invasores conseguiram explorar as vulnerabilidades antes do anúncio oficial das correções. A Amazon relatou ter identificado tentativas de exploração cerca de uma semana antes de os patches ficarem disponíveis.
A origem desse acesso antecipado ainda não estava esclarecida. Entre as hipóteses consideradas estão o vazamento de informações, falhas na comunicação durante o período de embargo ou a descoberta independente das vulnerabilidades por outros agentes.
IA ajudou a encontrar as falhas
Pesquisadores da empresa Calif identificaram os problemas durante uma auditoria de segurança do código do PHP. O trabalho integrava a iniciativa Hack the Planet, promovida pela OpenAI e pela empresa de segurança em nuvem Wiz.
A inteligência artificial (IA) auxiliou os pesquisadores na análise e na exploração das falhas, mas não realizou todo o trabalho sozinha. O conhecimento prévio da equipe sobre o código do PHP e o histórico de exploração de vulnerabilidades foi decisivo para demonstrar como os problemas poderiam ser usados em ataques.
O caso evidencia uma característica importante das ferramentas de IA aplicadas à segurança digital: elas podem ajudar especialistas a localizar e investigar falhas, mas também ampliam as possibilidades de descoberta de pontos fracos que criminosos podem explorar.
Risco ainda não acabou
A ausência de uma onda generalizada de ataques não quer dizer que os sistemas estejam seguros. Pesquisadores identificaram tentativas de exploração, e empresas de segurança confirmaram atividades maliciosas relacionadas às vulnerabilidades.
Matthew Prince, diretor-executivo da Cloudflare, afirmou que a empresa observou crescimento exponencial nas tentativas de exploração depois que os problemas foram divulgados.
A situação pode continuar preocupante porque nem todas as organizações conseguem atualizar seus sistemas rapidamente. Equipes pequenas, desenvolvedores independentes e empresas que usam componentes antigos podem levar mais tempo para identificar os sistemas afetados, testar as correções e implantá-las.
Além disso, o PHP não está presente apenas em servidores que hospedam sites. A linguagem também aparece em ferramentas de desenvolvimento, componentes de linha de comando e outros softwares utilizados em equipamentos de armazenamento, roteadores e dispositivos corporativos de segurança.
Isso significa que a correção de um servidor não necessariamente resolve todos os pontos vulneráveis de uma infraestrutura.
Falhas antigas podem continuar ameaçando a internet
O episódio também reacende o debate sobre a segurança de tecnologias antigas que continuam sustentando serviços essenciais. Muitos desses componentes são mantidos por comunidades de código aberto que, nem sempre, dispõem de recursos suficientes para realizar auditorias de segurança independentes.
Outro problema envolve linguagens e tecnologias consideradas vulneráveis a falhas relacionadas ao gerenciamento de memória. Esse tipo de deficiência pode abrir caminho para ataques capazes de expor informações ou comprometer o funcionamento de um programa.
Linguagens como Python, Rust e Swift adotam mecanismos que ajudam a evitar determinadas classes de problemas de segurança relacionados à memória.
A transição, porém, não acontece de uma hora para outra. Sistemas antigos podem continuar em operação durante anos, especialmente quando dependem de componentes que não recebem mais atualizações.
O caso PHP2Shell mostra como vulnerabilidades em tecnologias amplamente utilizadas podem provocar efeitos em cadeia. Mesmo quando uma correção está disponível, a proteção efetiva depende de que as organizações identifiquem os sistemas afetados e apliquem as atualizações necessárias.
