O problema foi grave o suficiente para levar empresas , governos e organizações de diferentes setores a retirar sistemas do ar enquanto aplicavam correções de segurança . A resposta coordenada entre pesquisadores e empresas de tecnologia ajudou a evitar uma onda ainda maior de ataques. Mesmo assim, especialistas alertam que muitos sistemas continuam vulneráveis.

As falhas receberam os identificadores CVE-2026-109618 e CVE-2026-109619 e ficaram conhecidas como PHP2Shell. Os problemas haviam sido identificados anteriormente, mas pesquisadores só conseguiram demonstrar como explorá-los de maneira efetiva mais recentemente.

Por que as falhas no PHP eram tão perigosas?

O principal risco estava na possibilidade de execução remota de código. Na prática, isso significa que um invasor poderia enviar comandos a um servidor vulnerável pela internet e conseguir executar ações sem precisar de credenciais válidas;

Com o controle de um sistema comprometido, criminosos poderiam instalar programas maliciosos, roubar informações ou manter acesso persistente à infraestrutura invadida;

A ausência da necessidade de autenticação tornava o cenário ainda mais preocupante. Em vez de depender de uma senha roubada ou de convencer uma vítima a abrir um arquivo, o atacante poderia explorar diretamente um servidor que ainda não tivesse recebido a atualização de segurança;

O PHP é uma tecnologia de código aberto, gratuita e utilizada há décadas. Cerca de 70% da web acessível pela internet depende da linguagem, embora sua participação venha diminuindo gradualmente;

Entre os sistemas que utilizam tecnologias baseadas em PHP estão WordPress, Drupal, Joomla e MediaWiki, plataforma que sustenta a Wikipédia.

Por que tantos sites ficaram fora do ar?

A dimensão do problema levou administradores de sistemas a adotar medida preventiva: retirar temporariamente serviços da internet até que as correções fossem instaladas.

Bancos, lojas, plataformas de jogos, hospitais e órgãos governamentais estiveram entre os setores afetados pelas medidas de contenção. A decisão buscava reduzir a exposição enquanto equipes de tecnologia identificavam os sistemas vulneráveis e aplicavam os patches disponibilizados pela Fundação PHP.

A preparação para a divulgação das correções também envolveu período de comunicação restrita. A fundação compartilhou informações e atualizações com grandes empresas e provedores de hospedagem antes do anúncio público, permitindo que parte da infraestrutura começasse a se proteger antecipadamente.

Apesar da coordenação, há indícios de que invasores conseguiram explorar as vulnerabilidades antes da divulgação oficial das correções. A Amazon informou ter identificado tentativas de exploração aproximadamente uma semana antes de os patches estarem disponíveis.

A origem desse acesso antecipado ainda não estava esclarecida. Entre as possibilidades consideradas estão o vazamento de informações, falhas na comunicação durante o período de embargo ou a descoberta independente das vulnerabilidades por outros agentes.

Vulnerabilidades no PHP podem permitir que invasores controlem servidores sem precisar de login ou senha – Imagem: The Nomad Photographer/Shutterstock

Falhas críticas no PHP colocam sites em risco; veja como empresas podem se proteger

Falhas críticas no PHP tiram sistemas públicos do ar no Brasil

Brecha no PHP que tirou sites do ar foi descoberta há dois anos

IA ajudou a encontrar as falhas

Pesquisadores da empresa Calif identificaram os problemas durante auditoria de segurança do código do PHP. O trabalho fazia parte da iniciativa Hack the Planet, promovida pela OpenAI e pela empresa de segurança em nuvem Wiz.

A inteligência artificial (IA) auxiliou os pesquisadores na análise e na exploração das falhas, mas não realizou sozinha todo o trabalho. O conhecimento prévio da equipe sobre o código do PHP e o histórico de exploração de vulnerabilidades foi fundamental para demonstrar como os problemas poderiam ser utilizados em ataques.

O caso evidencia uma característica importante das ferramentas de IA aplicadas à segurança digital: elas podem ajudar especialistas a encontrar e investigar falhas, mas também ampliam as possibilidades de descoberta de pontos fracos que podem ser explorados por criminosos.

Risco ainda não acabou

A ausência de onda generalizada de ataques não significa que os sistemas estejam seguros. Pesquisadores identificaram tentativas de exploração, e empresas de segurança confirmaram atividades maliciosas relacionadas às vulnerabilidades.

Matthew Prince, diretor-executivo da Cloudflare, afirmou que a empresa observou crescimento exponencial nas tentativas de exploração depois que os problemas foram divulgados.

A situação pode continuar preocupante porque nem todas as organizações conseguem atualizar seus sistemas rapidamente. Equipes pequenas, desenvolvedores independentes e empresas que utilizam componentes antigos podem levar mais tempo para identificar os sistemas afetados, testar as correções e implantá-las.

Além disso, o PHP não está presente apenas em servidores que hospedam sites. A linguagem também aparece em ferramentas de desenvolvimento, componentes de linha de comando e outros softwares utilizados em equipamentos de armazenamento, roteadores e dispositivos corporativos de segurança.

Isso significa que a correção de um servidor não necessariamente resolve todos os pontos vulneráveis de uma infraestrutura.

Falhas antigas podem continuar ameaçando a internet

O episódio também reacende o debate sobre a segurança de tecnologias antigas que continuam sustentando serviços essenciais. Muitos desses componentes são mantidos por comunidades de código aberto, que, nem sempre, dispõem de recursos suficientes para realizar auditorias de segurança independentes.

Outro problema envolve linguagens e tecnologias consideradas vulneráveis a falhas relacionadas ao gerenciamento de memória. Esse tipo de deficiência pode abrir caminho para ataques capazes de expor informações ou comprometer o funcionamento de um programa.

Linguagens, como Python, Rust e Swift, adotam mecanismos que ajudam a evitar determinadas classes de problemas de segurança relacionados à memória.

A transição, porém, não acontece de uma hora para outra. Sistemas antigos podem continuar em operação durante anos, especialmente quando dependem de componentes que não recebem mais atualizações.

O caso PHP2Shell mostra como vulnerabilidades em tecnologias amplamente utilizadas podem provocar efeitos em cadeia. Mesmo quando uma correção está disponível, a proteção efetiva depende de que organizações identifiquem os sistemas afetados e apliquem as atualizações necessárias.

O post Duas falhas críticas no PHP quase provocaram crise global na internet apareceu primeiro em Olhar Digital .