Duas falhas críticas do PHP, chamadas em conjunto de PHP2Shell (CVE-2026-109618 e CVE-2026-109619), permitem executar código num servidor sem senha. As correções saíram em 21 de outubro, mas a análise posterior mostra que os ataques começaram antes.
O que se sabe
A empresa de segurança Calif encontrou os erros. De início foram considerados inexploráveis; depois os pesquisadores montaram um ataque e avisaram a PHP Foundation. A fundação organizou um embargo confidencial para que grandes empresas e provedores de hospedagem atualizassem antes. WordPress, Drupal, Joomla e MediaWiki, que roda a Wikipédia, estavam na área de risco. Segundo o artigo, cerca de 70% dos sites dependem de PHP.
Onde deu errado
A Amazon detectou tentativas de exploração cerca de uma semana antes de as correções serem públicas e recomendou procurar vestígios a partir de 17 de outubro. As hipóteses: vazamento durante o embargo, descoberta independente ou espionagem. A fundação culpa uma empresa que publicou correções horas antes do fim do embargo. Na noite de sexta, Palo Alto Networks e Trail of Bits confirmaram invasões, e a Cloudflare relatou forte alta de tentativas após a divulgação.
O papel da IA
A Calif diz que a IA ajudou na exploração, mas que a maior parte veio da experiência dos pesquisadores. Nenhum modelo acha todos os bugs com um simples prompt.
O que fazer
Bancos, lojas e hospitais tiraram servidores do ar para atualizar. Equipes pequenas, desenvolvedores solo e produtos com PHP embutido serão os mais lentos, e alguns sistemas antigos talvez nunca sejam atualizados. Na prática: atualizar o PHP e revisar os logs desde 17 de outubro.