Em poucos dias, bancos, lojas, hospitais e órgãos públicos tiraram sistemas do ar por precaução. O motivo: duas falhas críticas no PHP, a linguagem que roda boa parte dos sites do mundo. Elas ganharam o apelido de PHP2Shell, e a história mostra como um defeito escondido numa base tão popular vira problema para todo mundo.
O que é o PHP2Shell
PHP é uma linguagem de programação gratuita e de código aberto usada para fazer sites funcionarem. Segundo o Olhar Digital, ela está por trás de cerca de 70% da web e é a base de plataformas como WordPress, Drupal, Joomla e MediaWiki, o sistema da Wikipédia. Também aparece dentro de ferramentas de desenvolvimento e de equipamentos como roteadores e dispositivos de armazenamento.
As falhas foram catalogadas como CVE-2026-109618 e CVE-2026-109619 (CVE é o número de identificação público de cada vulnerabilidade conhecida). Ambas receberam nota 9,2 em 10 na escala de gravidade CVSS. São falhas de execução remota de código: alguém na internet consegue mandar comandos para o servidor sem precisar de senha ou de qualquer autorização.
Por que elas são tão perigosas
De acordo com a análise publicada pela TechTarget, as duas falhas estão ligadas à forma como o PHP lida com erros graves, como falta de memória. Em termos simples: quando o programa tenta se recuperar de um erro desse tipo, deixa para trás áreas de memória em estado inconsistente, e um invasor pode explorar isso para executar código dele. A Fundação PHP avalia que o módulo mod_php, usado com o servidor Apache, é o cenário de maior risco, porque há uma demonstração em que uma única requisição não autenticada dispara o ataque antes mesmo de o código do site entrar em ação.
Isso significa que um site pode estar bem programado e, ainda assim, ficar exposto: o problema está no motor que o executa, não no código do site.
Quem é afetado e qual é a correção
O The Hacker News informa que quase todas as versões do PHP, desde a 5.4, são afetadas. As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As linhas 8.1 e anteriores não recebem mais atualizações oficiais, mas existem correções de fonte (backports) para as versões 7.4, 8.0 e 8.1, e as distribuições Linux costumam publicar as suas próprias. A Palo Alto Networks, citada pela TechTarget, estimou mais de 22 milhões de instâncias expostas na internet.
A linha do tempo também chama atenção. Segundo o Olhar Digital, a Amazon detectou tentativas de exploração cerca de uma semana antes de os patches (correções) estarem disponíveis, e a origem desse acesso antecipado não foi esclarecida. O The Hacker News relata que, após um vazamento em 20 de outubro, a Fundação PHP antecipou a liberação das correções para 21 de outubro. Matthew Prince, CEO da Cloudflare, afirmou que as tentativas de exploração cresceram muito após a divulgação. Até onde as fontes consultadas informam, não houve confirmação pública de invasões bem-sucedidas.
As falhas foram encontradas por pesquisadores da empresa Calif, durante uma auditoria de segurança do código do PHP dentro da iniciativa Hack the Planet, promovida pela OpenAI e pela Wiz. A inteligência artificial ajudou na análise, mas, segundo a reportagem, o conhecimento da equipe foi essencial.
O que fazer agora
Se você tem um site, loja virtual ou sistema próprio, ou contrata hospedagem, vale seguir estes passos:
- Liste tudo que usa PHP, inclusive sistemas antigos e equipamentos que embutem a linguagem.
- Atualize para uma das versões corrigidas ou instale o pacote corrigido da sua distribuição Linux. Atualizar só o site ou o WordPress não resolve: é preciso atualizar o PHP do servidor.
- Reinicie o Apache, o PHP-FPM e demais processos de longa duração depois da atualização, para a correção valer de fato.
- Se não puder atualizar já, aplique as mitigações temporárias indicadas pela comunidade (elas reduzem o risco, mas não substituem a atualização) ou tire do ar o que for mais exposto.
- Guarde os registros (logs) do servidor desde 20 de outubro e procure sinais estranhos, porque o patch não remove um acesso que já tenha sido conseguido.
Quem usa hospedagem compartilhada ou gerenciada deve perguntar ao provedor se a correção já foi aplicada. Equipes pequenas e sistemas esquecidos costumam ser os últimos a atualizar, e é justamente aí que atacantes gostam de procurar.
O que isso muda para você
A lição vai além do PHP: boa parte da internet roda sobre peças compartilhadas, e quando uma delas tem defeito, o risco chega a todos. Manter inventário do que está no ar e atualizar com regularidade é a defesa mais barata que existe. Na Agility, tratamos isso como parte básica de qualquer projeto web.
Fontes: Olhar Digital (Duas falhas críticas no PHP quase provocaram crise global na internet), The Hacker News (PHP issues emergency patches for two critical flaws), TechTarget (PHP2Shell: 22M exposed servers at risk as emergency patches released) e TechRadar. Confira sempre os avisos oficiais da Fundação PHP para a versão exata que você usa.