Por Maurício Gomes
Uma das maiores crises de segurança da web em 2026 entrou em uma fase mais perigosa.
As duas vulnerabilidades críticas do PHP conhecidas coletivamente como PHP2Shell já foram exploradas com sucesso contra sistemas reais, segundo pesquisadores de segurança que analisaram ataques capturados por servidores preparados para detectar atividades maliciosas.
As falhas são identificadas como CVE-2026-109618 e CVE-2026-109619 e permitem, em determinadas condições, que um invasor execute código remotamente em um servidor sem precisar primeiro autenticar-se.
O nível de gravidade é alto porque PHP está por trás de grande parte da web mundial e é utilizado em ambientes que executam WordPress, Drupal, Joomla e inúmeras aplicações próprias.
Ataque deixa de ser apenas uma possibilidade
Nos primeiros dias após a divulgação das vulnerabilidades, empresas de segurança detectaram muitas tentativas de exploração, mas ainda existiam dúvidas sobre ataques realmente bem-sucedidos.
Isso mudou. Pesquisadores registraram evidências de execução remota de código contra uma instalação Apache com mod_php, confirmando que o risco deixou de ser apenas teórico.
O que um invasor pode conseguir
Uma exploração bem-sucedida pode permitir que o atacante execute comandos com as permissões do processo PHP.
Dependendo da configuração, isso pode abrir caminho para roubo de dados, instalação de software malicioso, alteração de páginas, criação de acessos persistentes ou utilização do servidor comprometido em novos ataques.
Uma das vulnerabilidades também pode expor partes da memória do processo, onde podem estar temporariamente armazenadas informações sensíveis.
PHP lançou atualizações de emergência
O próprio projeto PHP publicou atualizações de segurança em 21 de outubro.
As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A recomendação oficial é que todas as instalações PHP que atendem requisições web sejam atualizadas imediatamente.
O risco não está limitado a uma única forma de utilização. PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed aparecem entre os ambientes potencialmente afetados.
Milhões de tentativas de exploração
A dimensão global do problema começou a aparecer rapidamente. Relatórios de empresas de segurança apontam milhões de tentativas de exploração e organizações chegaram a retirar serviços temporariamente da internet enquanto aplicavam correções.
Há também registros de atacantes tentando utilizar servidores vulneráveis para instalar malware associado a botnets, mostrando como uma falha em servidores web pode rapidamente ser incorporada às ferramentas usadas por criminosos.
Brasil também sentiu os efeitos
O problema não ficou restrito aos Estados Unidos ou à Europa.
No Brasil, serviços públicos chegaram a ser interrompidos preventivamente enquanto ambientes PHP eram avaliados e corrigidos. A suspensão de um sistema não significa necessariamente que tenha ocorrido uma invasão: em vários casos, retirar serviços do ar foi justamente uma medida de precaução.
Existe ainda uma terceira falha
Além das duas vulnerabilidades principais, o PHP revelou outra possibilidade de execução remota de código, identificada como CVE-2026-115560.
Ela exige uma combinação incomum de configurações e comportamento da aplicação, portanto é considerada muito menos provável. Enquanto uma atualização definitiva não chega, o PHP recomendou uma mitigação específica para reduzir o risco.
A internet corre contra o relógio
A PHP2Shell mostra novamente um dos maiores problemas da segurança digital.
Uma correção pode ser lançada em poucas horas, mas atualizar milhões de servidores espalhados pelo planeta leva muito mais tempo.
Durante esse intervalo, ferramentas automatizadas procuram máquinas vulneráveis incessantemente.
Para administradores de servidores, empresas de hospedagem e responsáveis por sites, o momento não é de esperar para saber se serão atacados. É de atualizar.
Maurício Gomes — Tecnologia, inovação e inteligência artificial
Fontes consultadas
PHP — atualizações oficiais de segurança; BleepingComputer — cobertura sobre exploração real das falhas; alertas técnicos de equipes de resposta a incidentes e empresas de segurança.