Duas falhas críticas no PHP, usado por 70% dos sites da internet, dispararam milhões de tentativas de invasão em poucas horas. Empresas e governos da Europa, Ásia e América do Norte tiraram serviços do ar por precaução para aplicar correções de emergência.
Duas vulnerabilidades críticas descobertas na linguagem de programação PHP, batizadas de PHP2Shell, provocaram nesta quinta-feira (22) uma onda de tentativas de invasão em escala global. As falhas, catalogadas como CVE-2026-109618 e CVE-2026-109619, permitem que um invasor execute comandos remotamente em um servidor sem precisar de senha ou autenticação, o que pode dar controle total sobre sites e acesso a bancos de dados sensíveis.
Segundo a Cloudflare, o número de tentativas de exploração saltou de milhares para milhões em poucas horas depois que detalhes técnicos das falhas vazaram antes mesmo de as correções estarem prontas, obrigando a PHP Foundation a antecipar a liberação de atualizações de emergência. A empresa de segurança watchTowr afirmou ter identificado casos de exploração bem-sucedida, embora agências como a CISA, dos EUA, a Huntress e órgãos de cibersegurança do Reino Unido e do Japão ainda não tenham confirmado invasões consumadas.
Por precaução, empresas e órgãos públicos da Europa, da Ásia e da América do Norte tiraram serviços do ar para aplicar as correções antes de voltar a operar. No Reino Unido, pelo menos 32 serviços do governo ficaram totalmente indisponíveis, e uma agência de cibersegurança da Finlândia estimou que o processo de normalização completa pode levar semanas, dado o alcance da linguagem, usada em cerca de 70% dos sites da internet.
As primeiras informações sobre as falhas circularam em 19 de outubro, dias antes da correção oficial, o que ampliou a janela de exposição de servidores ao redor do mundo.
Resumo das 18
