A Realidade da Ameaça de Segurança
A vulnerabilidade PHP2Shell, composta por duas vulnerabilidades de software (CVE-2026-109618 e CVE-2026-109619), continua a representar uma ameaça existencial à infraestrutura da web. Apesar de ter recebido uma classificação de gravidade muito alta (9,2) de acordo com a escala CVSS, a resposta das organizações aos processos de correção ainda é preocupantemente fraca.
De acordo com dados da empresa Ox Security, cerca de 93,6% dos sistemas ainda estão vulneráveis a invasões cinco dias após a descoberta da vulnerabilidade. Os pesquisadores afirmam que o ritmo de correção ainda é extremamente lento, deixando ativos digitais sensíveis expostos a atacantes.
Por que esta notícia é importante?
A gravidade da situação reside no fato de que cerca de 70% dos sites que utilizam linguagens de programação do lado do servidor dependem do PHP. Estudos de empresas de segurança como Censys e Flare indicam a existência de milhões de serviços operando com versões não suportadas do PHP, o que significa que não receberão atualizações de segurança oficiais e exigirão um esforço técnico maior para migrar para versões seguras.
Os desafios enfrentados pelas equipes de segurança incluem:
- Dependência de versões antigas: Estima-se que mais de 70% dos serviços escaneados operam com versões do PHP que não são mais suportadas pelo projeto principal.
- Complexidade da atualização: Atualizar sistemas legados requer a resolução de problemas de compatibilidade e a atualização de aplicações, o que é mais complexo do que apenas aplicar um patch de software.
- Escalada de ataques: A empresa Cloudflare observou um salto enorme nas tentativas de exploração, passando de milhares de tentativas antes do anúncio da vulnerabilidade para milhões de tentativas atualmente.
Medidas Governamentais e Restrições
Diante dessa negligência, agências governamentais tomaram medidas decisivas, com a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) obrigando as agências federais civis a corrigir a vulnerabilidade até 29 de outubro de 2026. A vulnerabilidade também causou o fechamento permanente de algumas plataformas baseadas em PHP devido à incapacidade de torná-las seguras.
Especialistas afirmam que a dependência de correções manuais, diante da ampla disseminação de ataques, não é mais suficiente, e que as organizações que ainda operam com versões não suportadas enfrentam o risco iminente de invasões bem-sucedidas.