PHP2Shell: PHP corrige falhas críticas já sob ataque, diz Amazon

O projeto PHP publicou nesta quarta-feira (21), por volta das 14h UTC, as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para corrigir duas vulnerabilidades críticas de execução remota de código, registradas como CVE-2026-109618 e CVE-2026-109619 e batizadas de PHP2Shell. As falhas permitem que um atacante sem autenticação execute código no servidor e receberam nota 9,2 no CVSS v4.0, segundo a Wiz Research, que as descobriu, e o aviso da Qualys.

A correção saiu antes do previsto. Detalhes das falhas vazaram em 20 de outubro, junto com uma nota 10,0 que circulou sem confirmação oficial, e o PHP antecipou em 24 horas a divulgação coordenada. Segundo a Amazon Threat Intelligence, os honeypots da empresa registraram uma tentativa de exploração em 17 de outubro, quatro dias antes do aviso público. A Amazon descreve agora a exploração como ampla.

O tamanho da superfície exposta

A Wiz afirma que o PHP2Shell atinge cerca de 70% da internet, estimativa que acompanha a fatia de sites servidos por PHP. Segundo a empresa, todas as versões a partir do PHP 5.4 têm ao menos uma das duas falhas, o que significa um defeito presente no núcleo da linguagem há mais de uma década. A demonstração da Wiz executou código sem autenticação contra imagens de contêiner padrão de WordPress, Drupal e Joomla, sem nenhuma alteração.

O risco maior está nas instalações com mod_php, o módulo que embute o interpretador no Apache. Nesse cenário, o projeto PHP confirmou execução remota completa via HTTP, com os limites padrão, antes que qualquer linha do código da aplicação rode. Isso tira do caminho as proteções que a equipe de desenvolvimento costuma controlar, como validação de entrada e autenticação.

O PHP 8.1 e as versões anteriores não recebem atualização do projeto oficial. Distribuições Linux estão publicando backports: a AlmaLinux informou que pacotes corrigidos já estão nos repositórios de produção para todas as versões de PHP nas suas edições 8, 9 e 10. O próprio projeto PHP afirma que atualizar é a única opção segura, porque as mitigações disponíveis fecham apenas parte dos vetores.

Exploração antes do patch

A linha do tempo é o dado que muda a prioridade para um CISO. Provas de conceito públicas apareceram por volta das 2h UTC do dia 21, cerca de 12 horas antes do fim do embargo, segundo a Amazon. A Cloudflare reportou tráfego de ataque contra as falhas, inclusive tentativas de contornar suas regras de WAF, e a Patchstack disse ter recebido relatos de exploração de parceiros de hospedagem.

A Amazon ressalva que os payloads e a infraestrutura observados variam, o que sugere vários atores, e que ainda não está claro se essas tentativas teriam sucesso em sistemas reais. A CISA não havia incluído as duas CVEs no catálogo de vulnerabilidades sabidamente exploradas (KEV) até a publicação do aviso da SOCRadar. Para empresas reguladas que usam o KEV como gatilho formal de correção emergencial, esse intervalo cria uma janela em que o prazo interno ainda não começou a contar, mas os ataques já começaram.

Há também um dado sobre como a falha foi achada. A Wiz e a empresa de segurança Calif usaram modelos de IA na descoberta e na resposta, segundo a Gigazine e outros relatos do dia 22. Ferramentas que encontram defeitos antigos em bases de código enormes encurtam o tempo entre descoberta e exploração para os dois lados.

Onde o PHP2Shell pesa mais

Nos Estados Unidos e na Europa, o risco concentra-se em portais corporativos, intranets e lojas virtuais que rodam sobre WordPress, Drupal ou Magento em servidores próprios, fora do alcance das correções automáticas de provedores gerenciados. A Sansec, especializada em comércio eletrônico, publicou análise própria sobre o PHP2Shell, sinal de que o comércio eletrônico entrou na conta das equipes de resposta.

Na Índia e nas Filipinas, grandes polos de agências web e de suporte terceirizado, um único time costuma administrar centenas de sites de clientes em hospedagem compartilhada. Uma versão de PHP desatualizada nesse modelo replica a exposição em todos os clientes ao mesmo tempo, e a correção depende de contrato e de quem tem acesso ao servidor.

No Brasil, o PHP é comum em sites de órgãos públicos, em varejistas de médio porte e em sistemas legados desenvolvidos internamente, parte deles ainda em versões 7.x que o projeto oficial não atualizou nesta rodada. Para esses ambientes, a opção é backport da distribuição ou migração forçada de versão, com teste de compatibilidade feito sob pressão.

O padrão comum aos três mercados é que o inventário vem antes do patch. A maioria das empresas sabe quantos servidores Windows tem; poucas sabem quantas instâncias de PHP rodam em sites de marketing, ferramentas de RH e sistemas departamentais contratados por fora da TI.