Relatórios técnicos confirmaram que invasores exploraram com sucesso vulnerabilidades críticas de segurança conhecidas como PHP2Shell (registradas sob os identificadores CVE-2026-109618 e CVE-2026-109619) para executar comandos remotamente (RCE) em ambientes de produção reais.
Esta confirmação ocorreu após a detecção de atividade maliciosa por Adel Karimi, chefe do departamento de detecção e resposta da Perplexity, onde "honeypots" registraram evidências irrefutáveis de execução remota de comandos contra uma instalação do Apache mod_php rodando a versão PHP 8.4.26. Karimi explicou que o ataque não se limitou a causar falhas no sistema, mas também incluiu a divulgação de memória (memory disclosure), permitindo que os invasores extraíssem dados e os utilizassem em cargas úteis de execução subsequentes.
A evolução dos ataques, de varreduras a invasões
Embora várias empresas de segurança cibernética, como Cloudflare e Patchstack, tenham monitorado tentativas de exploração dessas vulnerabilidades antes de sua divulgação, essas tentativas foram classificadas como infrutíferas ou apenas operações de varredura e identificação (scanning and fingerprinting). No entanto, a descoberta de Karimi, também confirmada pelo pesquisador de ameaças Marcus Hutchins da Expel, representa uma transição perigosa da fase de exploração de vulnerabilidades para a fase de invasão real e bem-sucedida.
Por que esta notícia é extremamente perigosa?
O perigo reside na ampla adoção do PHP. Estimativas do VirusTotal indicam que ele alimenta cerca de 70% de todos os sites na internet, com mais de 5,1 milhões de hosts executando PHP expostos à internet. Isso significa que qualquer vulnerabilidade que permita a execução remota de código nessa linguagem abre caminho para ataques em larga escala que podem visar a infraestrutura digital global.
Alerta sobre uma nova vulnerabilidade e medidas de proteção
Paralelamente à correção das vulnerabilidades PHP2Shell, a equipe de segurança do PHP alertou sobre uma nova vulnerabilidade de RCE (CVE-2026-115560) que ainda não possui correção (patch) e que afeta sistemas com configurações e aplicações não convencionais. Para proteger os sistemas, recomenda-se seguir as seguintes medidas:
- Atualizar o PHP imediatamente: Os administradores de sistemas devem instalar as atualizações de segurança lançadas pela equipe do PHP em 21 de outubro para corrigir as vulnerabilidades PHP2Shell.
- Medida preventiva urgente: Para combater a nova vulnerabilidade (CVE-2026-115560), que atualmente não possui correção, recomenda-se desativar o recurso de upload de arquivos por sessão definindo a seguinte configuração no arquivo de configuração: session.upload_progress.enabled=0.