A Agência de Cibersegurança e Infraestrutura dos Estados Unidos (CISA) confirmou, nesta segunda-feira (26), que duas vulnerabilidades críticas no PHP, coletivamente chamadas de 'PHP2Shell', estão sendo ativamente exploradas em ataques cibernéticos. O alerta resultou em uma ordem direta para que agências federais norte-americanas apliquem os patches de segurança nos servidores antes de prazos rigorosos, reforçando o risco para milhares de sistemas vulneráveis na internet.
Falhas CVE-2026-109618 e CVE-2026-109619
As falhas, rastreadas como 'CVE-2026-109618' e 'CVE-2026-109619', afetam o núcleo da linguagem de programação e permitem que criminosos obtenham execução remota de código sem precisar de privilégios ou senhas. Esses tipos de vulnerabilidades representam um vetor de ataque frequente para criminosos cibernéticos e oferecem riscos severos aos sistemas.
Impacto e Vulnerabilidades
A linguagem em questão sustenta 70% dos sites da internet, com mais de 5,1 milhões de hosts expostos e 3,8 milhões de instâncias vulneráveis a portas abertas segundo dados do VirusTotal. Especialistas da WatchTowr confirmaram a circulação de códigos maliciosos direcionados a essas brechas.
Análise de Ataques
Investigações complementares conduzidas pela Unidade de Pesquisa de Ameaças da SOCRadar revelaram que uma infraestrutura ligada a operadores maliciosos também foi utilizada em campanhas de extorsão contra o setor imobiliário no Japão. Os criminosos comprometeram servidores para extrair bancos de dados com informações confidenciais de usuários, incluindo credenciais e dados financeiros, utilizando o material roubado para pressionar empresas afetadas.
Mitigação e Prevenção
Apesar dos desenvolvedores do PHP terem liberado correções para as versões suportadas, relatários de empresas de cibersegurança como Cloudflare, Hadrian e Previdian indicam que tentativas de exploração em massa começaram antes mesmo da divulgação oficial dos patches. A SOCRadar realizou uma análise forense que demonstrou que ferramentas associadas ao PHP2Shell foram integradas aos servidores dos atacantes logo após a divulgação das falhas. Analistas da mesma unidade identificaram que a intrusão inicial ocorreu por meio de credenciais reutilizadas e falhas de configuração em ambientes de hospedagem compartilhada. Esse movimento evidencia que a ameaça vai além de uma única vulnerabilidade de software.
Recomendações
Pesquisadores de segurança da SOCRadar ressaltaram que apenas aplicar o patch do PHP não basta para reverter um ataque caso o servidor já tenha sido invadido. O processo de mitigação exige uma varredura completa em busca de arquivos maliciosos ocultos, verificação de tarefas agendadas e a troca integral de chaves de acesso e senhas.
Conclusão
A CISA reiterou a urgência da aplicação de correções para mitigar os riscos associados às falhas PHP2Shell. É essencial que agências federais e empresas adotem medidas imediatas para proteger seus sistemas.
Fonte: Autoridade dos EUA confirma ataques com PHP2Shell e ordena correção urgente**