Um grupo de empresas de tecnologia, incluindo OpenAI, Wiz e Calif.io, revelou duas vulnerabilidades de segurança críticas na linguagem de programação PHP, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, conhecidas coletivamente como php2shell. Essas vulnerabilidades afetam todos os servidores web que executam versões do PHP 5.4 e posteriores, abrindo caminho para riscos de execução remota de código, negação de serviço e vazamento de dados sensíveis.
Mecanismo das vulnerabilidades
As vulnerabilidades php2shell surgem de uma falha na forma como o PHP lida com a memória quando ocorrem erros durante o processamento de solicitações HTTP. Em circunstâncias normais, o PHP aloca memória para os dados solicitados e depois a libera; no entanto, se o processamento for interrompido inesperadamente, a linguagem pode falhar ao limpar a memória de forma segura. Os invasores exploram essa condição enviando solicitações HTTP especialmente projetadas para manipular memória inválida, levando a falhas de processos ou acesso a dados não autorizados.
Resposta técnica da Cloudflare
A Cloudflare antecipou-se ao anúncio público dessas vulnerabilidades em cerca de 9 horas, implantando regras de proteção por meio do firewall de aplicações web (WAF) para todos os clientes, incluindo usuários de planos gratuitos. Pela primeira vez, a empresa utilizou um novo recurso técnico chamado "Detecção de Transação Completa" (Full Transaction Detection).
Essa tecnologia vai além das regras tradicionais que dependem apenas da análise das solicitações dos usuários, combinando sinais derivados da solicitação e da resposta em uma única transação HTTP. Isso permite que o sistema bloqueie a resposta do servidor de origem se for determinado que ela contém indicadores de exploração, reduzindo a probabilidade de falsos positivos e aumentando a precisão da proteção.
O que muda na prática para os usuários?
- Proteção automática: As novas regras foram ativadas automaticamente para todos os clientes da Cloudflare, sem necessidade de intervenção manual.
- Múltiplas camadas: Embora a proteção do WAF esteja disponível, a empresa enfatiza que essa proteção é uma camada adicional de defesa e não substitui a necessidade de os administradores de sites atualizarem suas versões do PHP imediatamente, conforme as recomendações dos desenvolvedores.
- Monitoramento contínuo: Os analistas de segurança da Cloudflare continuam monitorando as tentativas de exploração e atualizando as regras para combater quaisquer técnicas de evasão que os invasores possam criar.
Os usuários podem revisar os logs de eventos através do painel da Cloudflare (Security > Security Analytics > Events) para garantir que a proteção esteja ativada e para rastrear quaisquer tentativas de ataque bloqueadas usando os IDs de regras especificados na atualização de segurança.