Falhas batizadas de PHP2Shell permitem execução remota sem autenticação
Duas vulnerabilidades críticas no PHP, identificadas como CVE-2026-109618 e CVE-2026-109619, colocaram em risco a maior parte da infraestrutura web mundial na última quarta-feira. Batizadas coletivamente de PHP2Shell, as falhas permitem que atacantes executem código arbitrário em servidores expostos à internet sem necessidade de senha ou interação da vítima, configurando um cenário de execução remota de código não autenticada.
Descoberta tardia e exploração prévia à divulgação
Os bugs foram encontrados em 2024 por pesquisadores da Calif durante auditoria de segurança, mas na época não foram considerados exploráveis. Recentemente, a mesma equipe desenvolveu um método viável de exploração, acionando o processo de divulgação coordenada com a PHP Foundation. A Amazon revelou ter detectado tentativas de exploração cerca de uma semana antes do lançamento dos patches, indicando que atores maliciosos já possuíam conhecimento das falhas antes da divulgação pública.
Impacto abrange WordPress, Wikipedia e milhares de sites corporativos
Cerca de 70% dos servidores web voltados para a internet dependem do PHP, linguagem que sustenta plataformas como WordPress, Drupal, Joomla e MediaWiki, esta última responsável pela Wikipedia. Bancos, varejistas, hospitais, órgãos governamentais e plataformas de jogos retiraram serviços do ar preventivamente para aplicar as correções. A popularidade do PHP decorre de ser gratuito, de fácil adoção e de décadas de presença contínua na web.
Coordenação industrial evitou exploração em massa até o momento
A PHP Foundation conduziu um embargo controlado, fornecendo patches antecipados às maiores empresas de tecnologia e provedores de hospedagem. Governos emitiram alertas urgentes para que organizações aplicassem as correções imediatamente. Apesar da resposta coordenada, pesquisadores alertam que vasta quantidade de sistemas permanece sem atualização, mantendo a janela de risco aberta.
IA auxiliou na exploração, mas conhecimento humano foi determinante
A descoberta fez parte da iniciativa Hack the Planet, patrocinada pela OpenAI e pela Wiz. Em relato técnico acompanhado de ilustrações em quadrinhos, a Calif explicou que modelos de IA auxiliaram no processo de exploração, porém o conhecimento profundo da base de código e do histórico de vulnerabilidades do PHP foi o fator decisivo. Nenhum modelo consegue, por enquanto, descobrir todas as falhas apenas com prompts simples.
Sustentabilidade de projetos open source volta ao centro do debate
O episódio expõe a fragilidade de tecnologias críticas mantidas por comunidades voluntárias sem financiamento para auditorias de segurança terceirizadas. Empresas que lucram bilhões com software aberto raramente contribuem financeiramente para sua manutenção. Especialistas preveem que, com o avanço de ferramentas de IA, novas vulnerabilidades adormecidas em componentes legados serão descobertas e exploradas em ritmo acelerado.
Com informações de: TechCrunch Security & AI