As vulnerabilidades críticas no PHP conhecidas como PHP2Shell deixaram de ser apenas um alerta e passaram a ser exploradas em ataques reais. Até 9 de novembro, a GreyNoise havia registrado 1.215 explorações bem-sucedidas, a partir de cinco endereços IP, em meio a mais de 255 mil sessões de ataque originadas de 682 endereços.
Divulgadas oficialmente em 21 de outubro, as falhas CVE-2026-109618 e CVE-2026-109619 afetam o gerenciamento de memória do interpretador PHP e permitem a execução remota de código sem autenticação. Ambas receberam nota 9,2 no CVSS v4.0, a escala que mede a gravidade de vulnerabilidades.
As melhores notícias de tecnologia B2B
Acompanhe todas as novidades diretamente na sua caixa de entrada
O caso mobilizou governos e empresas em poucos dias. No Brasil, órgãos federais foram orientados a restringir o acesso ao Sistema Eletrônico de Informações (SEI). Nos Estados Unidos, a Palo Alto Networks confirmou ataques contra firewalls da marca, e os invasores combinaram o PHP2Shell com uma falha no kernel Linux para obter acesso root.
Um relatório situacional da Vision Cybersecurity, divulgado com exclusividade ao IT Forum, reconstitui a primeira semana da crise. O documento também mostra que o Brasil tem mais de 52 mil hosts com PHP exposto à internet. Veja como o caso evoluiu.
17 de outubro
A AWS detecta tentativas de exploração em sua rede de honeypots MadPot, quatro dias antes da divulgação oficial. A identificação só foi feita depois, em análise retrospectiva.
20 de outubro
Detalhes das falhas vazam antes do prazo previsto. O projeto PHP anuncia uma atualização emergencial e antecipa a publicação das correções.
21 de outubro
O PHP divulga as vulnerabilidades e libera as versões corrigidas 8.2.35, 8.3.36, 8.4.27 e 8.5.12. No mesmo dia, o CTIR.Gov, centro de resposta a incidentes do governo federal, publica o Alerta 93/2026. O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) orienta os órgãos usuários do SEI a restringir o acesso a sistemas PHP expostos e admite a suspensão preventiva do sistema até a aplicação das correções.
No exterior, o Centro Nacional de Segurança Cibernética dos Países Baixos (NCSC) tira o próprio site do ar, e a NSA recomenda a atualização imediata dos sistemas americanos. A empresa de software de RH BambooHR suspende seus serviços, incluindo o processamento de folhas de pagamento, e retoma as operações no mesmo dia.
22 de outubro
A VulnCheck demonstra uma cadeia de exploração funcional em testes controlados, capaz de executar código remotamente mesmo com o ASLR ativado, proteção que embaralha os endereços de memória. A empresa alerta, porém, que a maioria das centenas de supostas provas de conceito publicadas na internet não funciona. A Wordfence registra mais de 74 mil tentativas de ataque bloqueadas.
23 de outubro
O PHP revela uma terceira falha, a CVE-2026-115560, ligada ao processamento de sessões durante o envio de arquivos. Segundo o projeto, ela afeta apenas aplicações com configuração incomum. A correção ficou para o próximo ciclo regular, e a orientação provisória é desativar o acompanhamento de progresso de uploads. O NCSC neerlandês avalia que a exploração em larga escala é menos provável do que se estimava, mas mantém a recomendação de atualização imediata.
26 de outubro
A CISA, agência de cibersegurança dos Estados Unidos, inclui as duas falhas em seu catálogo de vulnerabilidades exploradas e dá às agências federais até 29 de outubro para corrigi-las.
Fim de outubro
A GreyNoise confirma ao menos seis explorações bem-sucedidas. A Dream divulga relatório sobre uma campanha atribuída a um grupo chinês contra servidores ligados ao governo americano, com o PHP2Shell combinado à falha CVE-2026-46300.
2 e 3 de novembro
A GreyNoise passa a contabilizar 1.177 explorações bem-sucedidas. A Palo Alto Networks confirma ataques contra interfaces de gerenciamento expostas de firewalls com versões afetadas do PAN-OS. Após o acesso inicial, os invasores exploram a falha Fragnesia, no kernel Linux, para obter acesso root.
9 de novembro
O número de explorações bem-sucedidas registradas pela GreyNoise chega a 1.215.
Brasil é o sétimo país com mais hosts expostos
Segundo levantamento da MODAT citado pela Vision, feito em 20 de outubro, o Brasil tinha 120.472 serviços PHP em 52.716 hosts acessíveis pela internet, a sétima maior concentração entre os países analisados. Apenas 26% desses hosts rodavam versões das famílias 8.2 a 8.5, as únicas que ainda recebem suporte do projeto.
No mundo, foram identificados 4,38 milhões de serviços PHP em 1,89 milhão de hosts, e cerca de 79% dos que tinham versão identificada usavam famílias sem suporte. A Vision ressalva que os números medem exposição, e não sistemas comprovadamente vulneráveis, já que fornecedores podem aplicar correções sem alterar a numeração das versões.
Para a empresa, as tentativas de exploração devem continuar nas próximas semanas, principalmente contra ambientes sem correções verificadas. A recomendação é atualizar o PHP para as versões corrigidas, confirmar que as atualizações foram aplicadas e revisar as configurações de sessão, inclusive em servidores já atualizados.
Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!
Fonte: https://itforum.com.br/noticias/falhas-php2shell-ja-somam-mais-12-mil-ataques/