A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) incluiu duas vulnerabilidades críticas na linguagem de programação PHP, conhecidas coletivamente como vulnerabilidades PHP2Shell, no catálogo de vulnerabilidades de segurança exploradas em ataques reais.
Detalhes das vulnerabilidades e ataques ativos
As duas vulnerabilidades, que possuem os identificadores (CVE-2026-109618) e (CVE-2026-109619), permitem que atacantes sem privilégios prévios executem ataques de alta complexidade destinados à execução remota de código (RCE) em sistemas que não receberam as atualizações de segurança necessárias. As equipes de segurança da linguagem PHP haviam lançado as atualizações de software necessárias para corrigir as duas falhas em outubro, após a detecção de tentativas de exploração em larga escala por várias empresas de segurança antes do anúncio público.
Embora os detalhes das vulnerabilidades tenham sido vazados e alguns códigos de prova de conceito (PoC) tenham sido publicados na internet antes do lançamento das correções oficiais, a equipe de segurança do PHP confirmou que essas tentativas não foram eficazes inicialmente. No entanto, várias empresas de segurança, incluindo Amazon e Cloudflare, documentaram tentativas de exploração que visavam as vulnerabilidades mesmo poucos dias antes do lançamento das atualizações oficiais.
Diretrizes urgentes para agências governamentais
Após esses desenvolvimentos, a CISA adicionou as vulnerabilidades ao catálogo de vulnerabilidades conhecidas exploradas (KEV) e obrigou as agências do Poder Executivo Civil Federal (FCEB) a proteger seus sistemas e aplicar as correções necessárias de acordo com a Diretriz Operacional Vinculante (BOD 26-04). A agência alertou que essa categoria de vulnerabilidades constitui um vetor de ataque comum que ameaça diretamente as infraestruturas e as instituições federais.
O que este desenvolvimento representa na prática?
Estas atualizações ganham importância extrema devido à ampla disseminação da linguagem PHP, já que estimativas da plataforma VirusTotal indicam que o PHP alimenta cerca de 70% de todos os sites globalmente, com milhões de hosts em risco. Este movimento de campo da agência americana e a rapidez de resposta das equipes de resposta a incidentes refletem a necessidade de as organizações técnicas adotarem planos de gerenciamento de vulnerabilidades baseados em risco para lidar imediatamente com quaisquer falhas críticas confirmadas como exploradas no ambiente digital.