Servidores e aplicativos Web estão passando por uma ampla onda de ataques intensos que visam as graves vulnerabilidades do PHP2Shell, em meio a confirmações de empresas de segurança cibernética de que a taxa de invasões bem-sucedidas ainda é extremamente limitada, apesar da enorme escala das tentativas.
Nessa campanha, destacaram-se os firewalls da Palo Alto Networks, onde um grupo de hackers associado à China conseguiu invadir vários deles combinando a exploração de vulnerabilidades do PHP2Shell com a falha de escalação de privilégios do kernel Linux conhecida como Fragnesia para implantar malware com privilégios de root.
Detalhes da invasão de dispositivos da Palo Alto
A Palo Alto Networks confirmou as descobertas divulgadas por agências de segurança, explicando que os invasores usaram ferramentas de inteligência artificial para explorar as vulnerabilidades identificadas pelos códigos (CVE-2026-109618) e (CVE-2026-109619) em dispositivos PAN-OS conectados a interfaces de gerenciamento expostas à internet. A empresa emitiu atualizações urgentes de software para corrigir a falha nas versões afetadas das séries de firewalls PA-Series, VM-Series e dos sistemas Panorama.
A empresa esclareceu que a interface de gerenciamento padrão não fica exposta à internet por natureza, apontando que uma porcentagem muito pequena, estimada em cerca de 0,02% de sua base global de clientes, foi afetada por essas interfaces expostas, e os clientes em questão foram contatados diretamente para aplicar as correções necessárias.
Amplo impacto em servidores PHP e falha contra o WordPress
Dados de telemetria da empresa mostraram que mais de 22,6 milhões de instalações do PHP correm risco potencial devido às vulnerabilidades do PHP2Shell, dado o uso generalizado da linguagem em sistemas de gerenciamento de conteúdo como WordPress, Drupal e Joomla.
Apesar do registro de milhares de solicitações de varredura e ataques direcionados a plataformas como o WordPress, a empresa de cibersegurança Defiant confirmou que nenhum caso de invasão bem-sucedida a sites do WordPress foi registrado até o momento, atribuindo isso à necessidade constante de adaptar as explorações para corresponder aos ambientes dos servidores de destino, configurações de memória e versões do PHP.
O que importa para os administradores de sistemas?
Esta campanha confirma que os ataques cibernéticos atuais dependem cada vez mais da combinação de múltiplas vulnerabilidades (Chaining) para obter acesso total a infraestruturas confidenciais. Embora a maioria das tentativas de exploração documentadas por empresas como a Cato Networks tenha se concentrado na execução remota de código (RCE) e visado diversos setores, como saúde e tecnologia, o mínimo de invasões bem-sucedidas enfatiza a importância de atualizações imediatas e de restringir o acesso direto às interfaces de gerenciamento pela internet.