Duas vulnerabilidades graves no PHP, divulgadas no dia 21 de outubro, estavam sendo alvo de ataques há quatro dias. A Amazon Web Services (AWS) detectou a primeira atividade suspeita em 17 de outubro, durante a análise de seus sistemas de monitoramento.
Essas falhas, conhecidas como PHP2Shell, possibilitam que invasores tentem rodar código remotamente em servidores vulneráveis e foram classificadas com uma gravidade de 9,2 em 10, forçando empresas e entidades públicas a acelerarem a atualização de seus sistemas.
A AWS identificou a primeira tentativa vinda de um endereço IP ligado a um serviço comercial de anonimização. Embora a Amazon considere esse comportamento como uma possível ação maliciosa, ainda não está claro como os responsáveis obtiveram conhecimento sobre a vulnerabilidade antes do anúncio público.
A situação escalou nesta quarta-feira, quando a AWS identificou múltiplas evidências e novos esforços de exploração provenientes de outras infraestruturas. A diversidade de códigos e serviços empregados aponta para a possível atuação de diversos agentes.
Apesar das inúmeras tentativas detectadas, não há confirmação de que essas ações iniciais tenham conseguido comprometer servidores reais. Elizabeth Barron, diretora-executiva da PHP Foundation, declarou ao The Verge que ainda não foram registrados casos confirmados de exploração bem-sucedida.
Após a publicação das correções, códigos capazes de explorar as falhas surgiram rapidamente. As vulnerabilidades são designadas como CVE-2026-109618 e CVE-2026-109619, e seu impacto é preocupante, visto que o PHP é a base de grande parte da web e de plataformas populares como o WordPress, utilizado para gerenciar desde blogs até lojas virtuais.
No Brasil, houve interrupções nos serviços da Anatel e o Sistema Eletrônico de Informações (SEI) ficou fora do ar enquanto órgãos governamentais realizavam a atualização de seus servidores para mitigar riscos.
A AWS informa que o PHP2Shell está sendo explorado em grande escala na internet. Mesmo sem comprovação de execução remota de código bem-sucedida, o volume de tentativas reforça a necessidade urgente de administradores que ainda não aplicaram as correções.
A Amazon também destacou o papel da inteligência artificial nesse cenário emergente. De acordo com a empresa, ferramentas auxiliadas por IA diminuem o tempo necessário para descobrir um método de ataque eficiente.
Os problemas que culminaram no PHP2Shell já eram debatidos desde 2024. Tentativas anteriores de correção enfrentaram o dilema de poder causar incompatibilidade com sistemas existentes e gerar novas falhas de segurança. A PHP Foundation manifestou a intenção de rever seus procedimentos para garantir que vulnerabilidades críticas recebam decisões mais céleres no futuro.
O projeto PHP liberou as versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12 para sanar as duas falhas, recomendando a atualização imediata. Os desenvolvedores alertam que nenhuma configuração consegue eliminar totalmente os riscos sem a instalação dessas novas versões.
Adicionalmente, a AWS aconselha que os usuários revisem os registros de seus servidores, procurem por execuções de processos inesperadas e verifiquem quaisquer modificações suspeitas em arquivos a partir de 17 de outubro de 2026.