{"id":70102,"date":"2026-10-23T18:30:00","date_gmt":"2026-10-23T21:30:00","guid":{"rendered":"https:\/\/jornal24horas.com.br\/?p=70102"},"modified":"2026-10-23T18:30:00","modified_gmt":"2026-10-23T21:30:00","slug":"falha-no-php-mobiliza-acao-internacional-de-cibercriminosos-mas-sem-sucesso","status":"publish","type":"post","link":"https:\/\/jornal24horas.com.br\/?p=70102","title":{"rendered":"Falha no PHP mobiliza a\u00e7\u00e3o internacional de cibercriminosos, mas sem sucesso"},"content":{"rendered":"

Dois dias ap\u00f3s a libera\u00e7\u00e3o de atualiza\u00e7\u00f5es de emerg\u00eancia para corrigir duas falhas cr\u00edticas no PHP, cibercriminosos come\u00e7aram a explorar as brechas para tentar espalhar a rede de rob\u00f4s maliciosos Mirai. <\/b>O movimento acendeu o alerta em governos e empresas globais. No entanto, relat\u00f3rios de diversas empresas de seguran\u00e7a digital confirmam que, at\u00e9 o momento, nenhuma invas\u00e3o obteve sucesso em sistemas reais.<\/p>\n

Com o nome conjunto de PHP2Shell<\/b><\/a>, as vulnerabilidades <\/b>CVE-2026-109618<\/b><\/a> e <\/b>CVE-2026-109619<\/b><\/a> receberam nota de gravidade 9,2 (em uma escala de 10) e afetam o motor da linguagem PHP, usada para o funcionamento de grande parte dos sites no mundo.<\/b> A falha permite que invasores tomem o controle de servidores sem precisar de senha ou login. A descoberta inicial partiu de pesquisadores das empresas Wiz<\/b>, OpenAI<\/b> e Calif<\/b>, e a corre\u00e7\u00e3o oficial saiu nesta quarta-feira (21) pelas vers\u00f5es 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP.<\/b><\/p>\n\n

<\/div>\n

Apesar da gravidade, a aplica\u00e7\u00e3o pr\u00e1tica do ataque se mostrou extremamente dif\u00edcil. <\/b>A empresa Sophos identificou tentativas de instalar uma variante do malware Mirai<\/b>, chamada Potassium<\/b>, mas todas as investidas foram impedidas antes que os arquivos chegassem aos computadores das v\u00edtimas, conforme detalhado no relat\u00f3rio de seguran\u00e7a<\/a>. An\u00e1lises<\/a> da Arctic Wolf tamb\u00e9m conectaram execut\u00e1veis do Potassium<\/b> aos servidores que hospedavam arquivos de ataque do PHP2Shell<\/b>, sem registros de infec\u00e7\u00e3o conclu\u00edda.<\/p>\n

\u201cA aus\u00eancia de explora\u00e7\u00f5es bem-sucedidas no mundo real sugere que os pr\u00f3prios criminosos est\u00e3o enfrentando dificuldades\u201d, afirmaram os pesquisadores da Sophos. Paralelamente, a equipe de testes da big tech tentou criar um c\u00f3digo capaz de dominar um sistema usando as falhas e encontrou barreiras complexas, mesmo com o apoio de ferramentas de intelig\u00eancia artificial (IA). <\/b>A empresa Sansec<\/a> foi outra a identificar que os c\u00f3digos de invas\u00e3o p\u00fablicos falham contra instala\u00e7\u00f5es do PHP mantidas em configura\u00e7\u00f5es padr\u00e3o.<\/p>\n

Para o executivo principal de Seguran\u00e7a da Informa\u00e7\u00e3o da SOCRadar, Ensar Seker, a preocupa\u00e7\u00e3o do mercado \u00e9 plenamente justific\u00e1vel por afetar o n\u00facleo da linguagem:<\/p>\n

<\/p>\n

Seker acrescentou que a Amazon Threat Intelligence detectou tentativas em seus sistemas de atra\u00e7\u00e3o no dia 17 de outubro, antes mesmo da divulga\u00e7\u00e3o p\u00fablica. <\/b>\u201cAvalio que a atividade observada segue um padr\u00e3o familiar: os invasores identificam uma vulnerabilidade potencialmente valiosa, desenvolvem ferramentas e varrem sistemas alcan\u00e7\u00e1veis. A aten\u00e7\u00e3o p\u00fablica pode acelerar esse processo, mas a atividade n\u00e3o pode ser explicada apenas como uma rea\u00e7\u00e3o \u00e0s manchetes\u201d, avalia Seker, em an\u00e1lise enviada ao TecMundo<\/b>.<\/p>\n

Escudo de mem\u00f3ria e barreiras t\u00e9cnicas<\/h2>\n

O principal obst\u00e1culo para os invasores \u00e9 uma prote\u00e7\u00e3o de mem\u00f3ria presente nos sistemas operacionais modernos, conhecida pela sigla ASLR.<\/b> Ela funciona como uma esp\u00e9cie de embaralhador do mapa de mem\u00f3ria do computador, o que impede que o c\u00f3digo malicioso saiba exatamente para onde ir ao tentar assumir o controle do sistema.<\/p>\n

A empresa de seguran\u00e7a VulnCheck<\/a> informou ter conseguido criar um m\u00e9todo para burlar essa prote\u00e7\u00e3o em ambientes de teste. Contudo, essa ferramenta de invas\u00e3o s\u00f3 est\u00e1 dispon\u00edvel para os clientes de sua plataforma de intelig\u00eancia de amea\u00e7as e depende de condi\u00e7\u00f5es muito espec\u00edficas para funcionar.<\/p>\n

Em contrapartida, a empresa de seguran\u00e7a Wordfence analisou mais de 74 mil tentativas de ataque e sondagens bloqueadas pelos sistemas em mais de cinco milh\u00f5es de sites e tamb\u00e9m confirmou que nenhum cliente sofreu invas\u00e3o efetiva.<\/b><\/p>\n

\u201cAt\u00e9 o momento, n\u00e3o observamos nenhuma invas\u00e3o confirmada resultante dessas vulnerabilidades, o que \u00e9 um indicador claro da complexidade desse ataque\u201d, destacou a equipe de an\u00e1lise da Wordfence<\/a>.<\/p>\n

Relat\u00f3rios publicados pela SOCRadar<\/a> refor\u00e7am essa leitura. A companhia localizou um servidor usado por um invasor que deixou os arquivos expostos na internet<\/b>. Nos documentos, havia um roteiro de ataque criado para invadir servidores com uma vers\u00e3o espec\u00edfica do<\/b> PHP<\/b>. O criminoso testou a ferramenta contra 123 servidores de empresas de hospedagem e provedores de internet. O levantamento da Hunt.io<\/a>, que tamb\u00e9m investigou o mesmo servidor exposto, confirmou que o hacker realizou dez rodadas de testes e obteve zero invas\u00f5es conclu\u00eddas.<\/b><\/p>\n

Milh\u00f5es de servidores continuam desatualizados<\/h2>\n

Enquanto os ataques enfrentam barreiras t\u00e9cnicas, a lentid\u00e3o na aplica\u00e7\u00e3o das corre\u00e7\u00f5es mant\u00e9m uma grande superf\u00edcie de risco exposta na internet. Um levantamento publicado pela Qualys<\/a>, baseado em dados anonimizados de 12 mil clientes, revelou que 110 milh\u00f5es de inst\u00e2ncias de PHP rodam vers\u00f5es antigas que j\u00e1 perderam o suporte oficial do fabricante, entre as edi\u00e7\u00f5es 5.4 e 8.1<\/b>. O progresso dessas atualiza\u00e7\u00f5es pode ser acompanhado em tempo real no painel mantido pela Censys<\/a>.<\/p>\n

Servidores antigos n\u00e3o recebem corre\u00e7\u00f5es autom\u00e1ticas do projeto principal do PHP<\/b>, o que exige que administradores atualizem todo o sistema ou busquem pacotes adaptados por distribui\u00e7\u00f5es Linux. Apenas 199 mil sistemas aplicaram as corre\u00e7\u00f5es nas primeiras 12 horas ap\u00f3s o lan\u00e7amento dos patches oficiais, segundo a Qualys.<\/p>\n\n

\n
\n \"Reprodu\u00e7\u00e3o\/ChatGPT\"
Hackers tentam usar as vulnerabilidades PHP2Shell para espalhar redes de rob\u00f4s maliciosos, s\u00f3 que defesas e complexidade t\u00e9cnica travam as invas\u00f5es Foto: Reprodu\u00e7\u00e3o\/ChatGPT<\/figcaption><\/figure>\n<\/div>\n

A recomenda\u00e7\u00e3o de todos os \u00f3rg\u00e3os de seguran\u00e7a \u00e9 que os administradores apliquem as corre\u00e7\u00f5es imediatamente e reiniciem os servi\u00e7os de hospedagem web. <\/b>A equipe do PHP emitiu, nesta sexta-feira (23), um alerta complementar recomendando a desativa\u00e7\u00e3o do recurso de progresso de envio de arquivos em sess\u00f5es enquanto prepara uma corre\u00e7\u00e3o para outra falha correlata, identificada como <\/b>CVE-2026-115560<\/b><\/a>.<\/b><\/p>\n

\u201cMinha conclus\u00e3o pr\u00e1tica \u00e9 que as organiza\u00e7\u00f5es precisam de um processo capaz de identificar a responsabilidade sobre o sistema, aplicar prote\u00e7\u00f5es tempor\u00e1rias e implantar corre\u00e7\u00f5es verificadas em poucas horas quando um servi\u00e7o cr\u00edtico exposto estiver em risco\u201d, concluiu Ensar Seker.<\/p>\n

Leia sobre <\/b>o caso \u201cPHP2Shell\u201d<\/b><\/a> de maneira detalhada.<\/b> Siga o TecMundo<\/b><\/a> no X<\/a>, Instagram<\/a>, Facebook<\/a> e YouTube<\/a> e assine a nossa newsletter<\/a> para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail. <\/p>\n

[[{“value”:”Dois dias ap\u00f3s a libera\u00e7\u00e3o de atualiza\u00e7\u00f5es de emerg\u00eancia para corrigir duas falhas cr\u00edticas no PHP, cibercriminosos come\u00e7aram a explorar as brechas para tentar espalhar a rede de rob\u00f4s maliciosos Mirai. O movimento acendeu o alerta em governos e empresas globais. No entanto, relat\u00f3rios de diversas empresas de seguran\u00e7a digital confirmam que, at\u00e9 o momento, nenhuma invas\u00e3o obteve sucesso em sistemas reais.Com o nome conjunto de PHP2Shell, as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 receberam nota de gravidade 9,2 (em uma escala de 10) e afetam o motor da linguagem PHP, usada para o funcionamento de grande parte dos sites no mundo. A falha permite que invasores tomem o controle de servidores sem precisar de senha ou login. A descoberta inicial partiu de pesquisadores das empresas Wiz, OpenAI e Calif, e a corre\u00e7\u00e3o oficial saiu nesta quarta-feira (21) pelas vers\u00f5es 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP.<\/p>\n

Apesar da gravidade, a aplica\u00e7\u00e3o pr\u00e1tica do ataque se mostrou extremamente dif\u00edcil. A empresa Sophos identificou tentativas de instalar uma variante do malware Mirai, chamada Potassium, mas todas as investidas foram impedidas antes que os arquivos chegassem aos computadores das v\u00edtimas, conforme detalhado no relat\u00f3rio de seguran\u00e7a. An\u00e1lises da Arctic Wolf tamb\u00e9m conectaram execut\u00e1veis do Potassium aos servidores que hospedavam arquivos de ataque do PHP2Shell, sem registros de infec\u00e7\u00e3o conclu\u00edda.\u201cA aus\u00eancia de explora\u00e7\u00f5es bem-sucedidas no mundo real sugere que os pr\u00f3prios criminosos est\u00e3o enfrentando dificuldades\u201d, afirmaram os pesquisadores da Sophos. Paralelamente, a equipe de testes da big tech tentou criar um c\u00f3digo capaz de dominar um sistema usando as falhas e encontrou barreiras complexas, mesmo com o apoio de ferramentas de intelig\u00eancia artificial (IA). A empresa Sansec foi outra a identificar que os c\u00f3digos de invas\u00e3o p\u00fablicos falham contra instala\u00e7\u00f5es do PHP mantidas em configura\u00e7\u00f5es padr\u00e3o.Para o executivo principal de Seguran\u00e7a da Informa\u00e7\u00e3o da SOCRadar, Ensar Seker, a preocupa\u00e7\u00e3o do mercado \u00e9 plenamente justific\u00e1vel por afetar o n\u00facleo da linguagem:Seker acrescentou que a Amazon Threat Intelligence detectou tentativas em seus sistemas de atra\u00e7\u00e3o no dia 17 de outubro, antes mesmo da divulga\u00e7\u00e3o p\u00fablica. \u201cAvalio que a atividade observada segue um padr\u00e3o familiar: os invasores identificam uma vulnerabilidade potencialmente valiosa, desenvolvem ferramentas e varrem sistemas alcan\u00e7\u00e1veis. A aten\u00e7\u00e3o p\u00fablica pode acelerar esse processo, mas a atividade n\u00e3o pode ser explicada apenas como uma rea\u00e7\u00e3o \u00e0s manchetes\u201d, avalia Seker, em an\u00e1lise enviada ao TecMundo.Escudo de mem\u00f3ria e barreiras t\u00e9cnicas
\nO principal obst\u00e1culo para os invasores \u00e9 uma prote\u00e7\u00e3o de mem\u00f3ria presente nos sistemas operacionais modernos, conhecida pela sigla ASLR. Ela funciona como uma esp\u00e9cie de embaralhador do mapa de mem\u00f3ria do computador, o que impede que o c\u00f3digo malicioso saiba exatamente para onde ir ao tentar assumir o controle do sistema.A empresa de seguran\u00e7a VulnCheck informou ter conseguido criar um m\u00e9todo para burlar essa prote\u00e7\u00e3o em ambientes de teste. Contudo, essa ferramenta de invas\u00e3o s\u00f3 est\u00e1 dispon\u00edvel para os clientes de sua plataforma de intelig\u00eancia de amea\u00e7as e depende de condi\u00e7\u00f5es muito espec\u00edficas para funcionar.Em contrapartida, a empresa de seguran\u00e7a Wordfence analisou mais de 74 mil tentativas de ataque e sondagens bloqueadas pelos sistemas em mais de cinco milh\u00f5es de sites e tamb\u00e9m confirmou que nenhum cliente sofreu invas\u00e3o efetiva.\u201cAt\u00e9 o momento, n\u00e3o observamos nenhuma invas\u00e3o confirmada resultante dessas vulnerabilidades, o que \u00e9 um indicador claro da complexidade desse ataque\u201d, destacou a equipe de an\u00e1lise da Wordfence.Relat\u00f3rios publicados pela SOCRadar refor\u00e7am essa leitura. A companhia localizou um servidor usado por um invasor que deixou os arquivos expostos na internet. Nos documentos, havia um roteiro de ataque criado para invadir servidores com uma vers\u00e3o espec\u00edfica do PHP. O criminoso testou a ferramenta contra 123 servidores de empresas de hospedagem e provedores de internet. O levantamento da Hunt.io, que tamb\u00e9m investigou o mesmo servidor exposto, confirmou que o hacker realizou dez rodadas de testes e obteve zero invas\u00f5es conclu\u00eddas.Milh\u00f5es de servidores continuam desatualizados
\nEnquanto os ataques enfrentam barreiras t\u00e9cnicas, a lentid\u00e3o na aplica\u00e7\u00e3o das corre\u00e7\u00f5es mant\u00e9m uma grande superf\u00edcie de risco exposta na internet. Um levantamento publicado pela Qualys, baseado em dados anonimizados de 12 mil clientes, revelou que 110 milh\u00f5es de inst\u00e2ncias de PHP rodam vers\u00f5es antigas que j\u00e1 perderam o suporte oficial do fabricante, entre as edi\u00e7\u00f5es 5.4 e 8.1. O progresso dessas atualiza\u00e7\u00f5es pode ser acompanhado em tempo real no painel mantido pela Censys.Servidores antigos n\u00e3o recebem corre\u00e7\u00f5es autom\u00e1ticas do projeto principal do PHP, o que exige que administradores atualizem todo o sistema ou busquem pacotes adaptados por distribui\u00e7\u00f5es Linux. Apenas 199 mil sistemas aplicaram as corre\u00e7\u00f5es nas primeiras 12 horas ap\u00f3s o lan\u00e7amento dos patches oficiais, segundo a Qualys.<\/p>\n

Hackers tentam usar as vulnerabilidades PHP2Shell para espalhar redes de rob\u00f4s maliciosos, s\u00f3 que defesas e complexidade t\u00e9cnica travam as invas\u00f5es Foto: Reprodu\u00e7\u00e3o\/ChatGPT<\/p>\n

A recomenda\u00e7\u00e3o de todos os \u00f3rg\u00e3os de seguran\u00e7a \u00e9 que os administradores apliquem as corre\u00e7\u00f5es imediatamente e reiniciem os servi\u00e7os de hospedagem web. A equipe do PHP emitiu, nesta sexta-feira (23), um alerta complementar recomendando a desativa\u00e7\u00e3o do recurso de progresso de envio de arquivos em sess\u00f5es enquanto prepara uma corre\u00e7\u00e3o para outra falha correlata, identificada como CVE-2026-115560.\u201cMinha conclus\u00e3o pr\u00e1tica \u00e9 que as organiza\u00e7\u00f5es precisam de um processo capaz de identificar a responsabilidade sobre o sistema, aplicar prote\u00e7\u00f5es tempor\u00e1rias e implantar corre\u00e7\u00f5es verificadas em poucas horas quando um servi\u00e7o cr\u00edtico exposto estiver em risco\u201d, concluiu Ensar Seker.Leia sobre o caso \u201cPHP2Shell\u201d de maneira detalhada. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail.”}]]\u00a0\u00a0Ciberseguranca\u00a0Novidades do TecMundo | Estad\u00e3o\u00a0<\/p>","protected":false},"excerpt":{"rendered":"

Dois dias ap\u00f3s a libera\u00e7\u00e3o de atualiza\u00e7\u00f5es de emerg\u00eancia para corrigir duas falhas cr\u00edticas no PHP, cibercriminosos come\u00e7aram a explorar as brechas para tentar espalhar a rede de rob\u00f4s maliciosos Mirai. O movimento acendeu o alerta em governos e empresas globais. No entanto, relat\u00f3rios de diversas empresas de seguran\u00e7a digital confirmam que, at\u00e9 o momento, […]<\/p>\n","protected":false},"author":1,"featured_media":70103,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[15],"tags":[],"class_list":["post-70102","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia"],"_links":{"self":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/70102","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=70102"}],"version-history":[{"count":0,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/70102\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/media\/70103"}],"wp:attachment":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=70102"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=70102"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=70102"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}