Na manhã de 21 de outubro de 2026, pesquisadores de segurança confirmaram duas vulnerabilidades críticas no PHP, conhecidas como PHP2Shell, que já estavam sendo alvo de ataques desde 17 de outubro. A Amazon Web Services (AWS) detectou as primeiras atividades suspeitas em servidores monitorados, revelando que grupos de hackers tentaram explorar as falhas antes mesmo do alerta oficial.
Investigação da AWS e primeiras tentativas
A AWS iniciou a investigação ao observar tráfego incomum proveniente de um endereço IP associado a um serviço de anonimização comercial. O padrão de requisição indicava tentativa de execução remota de código, algo típico de exploração de vulnerabilidades de alta gravidade.
Os analistas de segurança relataram que, entre 17 e 20 de outubro, foram registradas dezenas de tentativas de conexão a servidores que rodavam versões vulneráveis do PHP. Cada tentativa continha payloads diferentes, sugerindo a participação de múltiplos atores com ferramentas próprias.
Embora nenhuma das tentativas tenha sido confirmada como bem‑sucedida, a frequência crescente elevou o nível de alerta entre administradores de sistemas. A diretora‑executiva da PHP Foundation, Elizabeth Barron, declarou ao The Verge que ainda não há casos confirmados de comprometimento, mas que a situação exige vigilância constante.
Impacto nas infraestruturas brasileiras
No Brasil, o efeito colateral das explorações foi sentido em serviços críticos. A Anatel registrou indisponibilidade parcial de seus portais, enquanto o Sistema Eletrônico de Informações (SEI) chegou a ficar offline por algumas horas.
Órgãos públicos que dependem do PHP para aplicações internas foram forçados a interromper temporariamente o acesso, a fim de aplicar as correções lançadas pelos mantenedores do PHP. Essa interrupção gerou atrasos em processos administrativos e aumentou a pressão sobre equipes de TI.
Além do setor público, empresas de comércio eletrônico que utilizam WordPress, Magento ou outras plataformas baseadas em PHP também foram alertadas para atualizar seus ambientes. A maioria das lojas virtuais ainda operava em versões 8.2 ou 8.3, que estavam diretamente expostas ao risco.
Recomendações e medidas corretivas
O projeto PHP respondeu rapidamente, lançando as versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12, que corrigem as vulnerabilidades CVE‑2026‑109618 e CVE‑2026‑109619. A atualização imediata dessas versões é a única forma garantida de eliminar o vetor de ataque.
A AWS complementou a orientação com um conjunto de boas‑práticas para quem ainda não conseguiu aplicar as correções:
- Revisar logs de acesso a partir de 17 de outubro de 2026 em busca de padrões de requisição suspeitos.
- Monitorar a criação ou modificação inesperada de arquivos PHP nos diretórios de aplicação.
- Utilizar ferramentas de integridade de arquivos para detectar alterações não autorizadas.
- Desativar funções de execução de código remoto (como
evalesystem) em ambientes que ainda não foram atualizados.
Para organizações que não podem atualizar imediatamente, a recomendação é aplicar regras de firewall que bloqueiem requisições provenientes de endereços IP conhecidos por atividade maliciosa, bem como limitar a exposição de serviços PHP a redes internas sempre que possível.
Perspectivas e lições para o futuro
Um dos aspectos mais preocupantes apontados pela AWS foi o uso crescente de ferramentas assistidas por inteligência artificial para gerar exploits. Algoritmos de IA conseguem analisar código-fonte e sugerir caminhos de exploração em minutos, reduzindo drasticamente o tempo entre a descoberta de uma vulnerabilidade e a sua exploração em escala.
Esse cenário reforça a necessidade de processos de resposta mais ágeis dentro da comunidade de desenvolvimento. A PHP Foundation já anunciou que revisará seu ciclo de vida de vulnerabilidades críticas, buscando decisões de correção mais rápidas e comunicação transparente com usuários.
Além disso, especialistas recomendam que equipes de desenvolvimento adotem práticas de “security‑by‑design”, inserindo verificações de segurança já nas fases iniciais de codificação. A integração de scanners automáticos de vulnerabilidades no pipeline de CI/CD pode detectar regressões antes que o código chegue à produção.
Em resumo, as tentativas de exploração do PHP2Shell demonstram que a janela entre a descoberta de uma falha e sua exploração pode ser extremamente curta, especialmente quando agentes maliciosos contam com IA avançada. Administradores que ainda não atualizaram seus servidores devem agir imediatamente, enquanto a comunidade PHP trabalha para tornar seus processos de correção mais resilientes.
