Falhas do PHP2Shell obrigam bancos e companhias aéreas a sair do ar
Quando grandes bancos, companhias aéreas e órgãos de governo decidem tirar seus próprios sites do ar ao mesmo tempo, algo sério está acontecendo. Foi o que se viu na quinta-feira, 22 de outubro, por causa do PHP2Shell, nome dado a duas falhas críticas no PHP, a linguagem de programação que sustenta uma enorme parte da internet, incluindo plataformas como o WordPress.
A velocidade com que os ataques cresceram assustou até especialistas. Segundo Matthew Prince, CEO da Cloudflare, a empresa registrou milhares de tentativas de exploração nas 10 horas anteriores à divulgação pública das falhas. Depois, o número saltou para centenas de milhares em duas horas e chegou aos milhões, de acordo com a BBC News. Até agora, não há registro de ataque bem-sucedido, mas o alerta está ligado no mundo inteiro.
O que é o PHP2Shell e por que ele é tão grave
As duas falhas foram catalogadas como CVE-2026-109618 e CVE-2026-109619, e cada uma recebeu nota 9,2 em uma escala que vai até 10. O motivo da gravidade é simples e preocupante: elas permitem que um invasor execute código em um servidor sem precisar fazer login. Na prática, isso pode abrir caminho para roubo de dados, instalação de programas maliciosos ou controle total do site.
O alcance também impressiona. As falhas afetam versões do PHP desde a 5.4, o que inclui uma quantidade enorme de sites antigos que nunca foram atualizados. As correções já estão disponíveis nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, e a recomendação é atualizar o quanto antes.
publicidade
Um vazamento antecipou tudo
As correções estavam programadas para 22 de outubro, mas os planos mudaram. Detalhes sobre as falhas vazaram na internet em 20 de outubro, e o PHP decidiu lançar as atualizações um dia antes do previsto. Para piorar, segundo a PHP Foundation, pesquisadores da Calif publicaram por engano um vídeo mostrando como as falhas poderiam ser exploradas. O conteúdo foi removido, mas já tinha circulado em fóruns de hackers.
A Amazon informou que sua rede de sensores MadPot detectou tentativas de ataque antes mesmo da divulgação oficial, e a empresa ainda não sabe como os invasores descobriram as falhas tão cedo.
Autoridades recomendam desligar sistemas
A situação levou a Agência de Segurança Nacional dos Estados Unidos, a NSA, a orientar organizações a tirar sistemas do ar caso não conseguissem atualizá-los imediatamente. Autoridades de Singapura, do Reino Unido, da Austrália, do Canadá e da União Europeia emitiram alertas semelhantes. Quando agências de segurança de vários países falam a mesma coisa ao mesmo tempo, o risco é real.
Paralisações ao redor do mundo
Os efeitos foram sentidos em diversos países. No Japão, segundo a Bloomberg, o banco Mizuho suspendeu serviços bancários e de corretora, o Shizuoka Bank tirou do ar site e aplicativo e a All Nippon Airways desativou os cartões de embarque no Apple Wallet. Na França, a operadora Orange tirou alguns sites do ar temporariamente para instalar as correções.
No Reino Unido, o Office for Budget Responsibility e o NHS Scotland ficaram fora do ar na quarta-feira, e algumas páginas de programas da BBC ficaram indisponíveis na quinta. Empresas com equipes de segurança robustas preferiram ficar algumas horas offline a correr o risco de uma invasão.
A inteligência artificial na descoberta das falhas
Um detalhe chama atenção nessa história: as falhas foram encontradas com ajuda de inteligência artificial. A Calif descobriu o problema usando o GPT‑5.6 Sol, da OpenAI, por meio do programa Patch the Planet. A Wiz, unidade de segurança do Google, chegou ao mesmo resultado de forma independente, usando o Gemini 4 Argon e o GPT‑5.6 Sol.
A Anthropic também teve participação, ainda que menor. A PHP Foundation afirmou ter analisado o PHP com o Claude Mythos no início do ano e agradeceu o acesso às ferramentas, mas atribui o reporte das falhas à Calif, à OpenAI e à Wiz.
Ryan Austin, pesquisador da Calif, classificou o caso como a vulnerabilidade mais grave que já encontrou. Ainda assim, ele avalia que, até o momento, a exploração não parece ter se espalhado em larga escala.
Uma corrida entre defesa e ataque
O episódio mostra os dois lados da inteligência artificial na segurança digital. A mesma tecnologia que ajuda pesquisadores a encontrar falhas antes dos criminosos também acelera a descoberta de brechas e encurta o tempo entre a divulgação de um problema e os primeiros ataques. Isso significa que a janela para atualizar sistemas está cada vez menor.
O que isso significa para o seu site
Se grandes bancos precisaram correr para se proteger, pequenas e médias empresas não podem ignorar o problema. Milhões de sites institucionais, blogs e lojas virtuais funcionam em PHP, muitos deles em versões antigas e sem manutenção regular. São justamente esses os alvos mais fáceis.
Um site invadido pode exibir conteúdo malicioso, ter dados de clientes roubados, ser bloqueado pelo Google e perder posições nas buscas. Além do prejuízo financeiro, o dano à reputação pode levar muito tempo para ser revertido. Manter a versão do PHP atualizada, junto com a plataforma, os temas e os plugins, deixou de ser um detalhe técnico e passou a ser uma questão de sobrevivência digital.
Seu site está protegido e atualizado?
Segurança não é algo que se resolve uma vez e se esquece. Ela exige acompanhamento constante, atualizações rápidas e uma hospedagem confiável, capaz de reagir quando surgem ameaças como o PHP2Shell.
Na Mags Web Studio, criamos sites profissionais e oferecemos hospedagem e manutenção com atenção à segurança, atualizações e desempenho, para que você se concentre no seu negócio enquanto cuidamos da sua presença digital. Fale com a gente e garanta que o seu site esteja atualizado, protegido e pronto para crescer com tranquilidade.
Fora do artigo: como você hospeda sites de clientes, vale conferir hoje a versão do PHP em cada um. Quem estiver abaixo das versões corrigidas (8.5.12, 8.4.27, 8.3.36 ou 8.2.35) precisa atualizar, e quem ainda roda PHP 7 ou anterior não recebe a correção e precisa migrar.
