Introdução
Dois dias após a liberação de atualizações de emergência para corrigir duas vulnerabilidades críticas no PHP, cibercriminosos começaram a explorar as brechas para tentar espalhar a rede de robôs maliciosos Mirai. O movimento acendeu o alerta em governos e empresas globais. No entanto, relatórios de várias empresas de segurança digital confirmam que, até o momento, nenhuma invasão obteve sucesso em sistemas reais.
Vulnerabilidades PHP
As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 foram nomeadas PHP2Shell e afetam o motor da linguagem PHP, usado para o funcionamento de grande parte dos sites no mundo. Essas vulnerabilidades receberam nota de gravidade 9,2 (em uma escala de 10) e permitem que invasores tomem o controle de servidores sem precisar de senha ou login. A descoberta inicial partiu de pesquisadores das empresas Wiz, OpenAI e Calif, e a correção oficial saiu nesta quarta-feira (21) pelas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP.
Desafios de Exploração
Apesar da gravidade, a aplicação prática do ataque se mostrou extremamente difícil. A empresa Sophos identificou tentativas de instalar uma variante do malware Mirai, chamada Potassium, mas todas as investidas foram impedidas antes que os arquivos chegarem aos computadores das vítimas, conforme detalhado no relatório de segurança. Análises da Arctic Wolf também conectaram executáveis do Potassium aos servidores que hospedavam arquivos de ataque do PHP2Shell, sem registros de infecção concluída.
Barreiras de Proteção
O principal obstáculo para os invasores é uma proteção de memória presente nos sistemas operacionais modernos, conhecida pela sigla ASLR. Ela funciona como uma espécie de embaralhador do mapa de memória do computador, o que impede que o código malicioso saiba exatamente para onde ir ao tentar assumir o controle do sistema. A empresa de segurança VulnCheck informou ter conseguido criar um método para burlar essa proteção em ambientes de teste. Contudo, essa ferramenta de invasão só está disponível para os clientes de sua plataforma de inteligência de ameaças e depende de condições muito específicas para funcionar.
Proteção de Segurança
Em contrapartida, a empresa de segurança Wordfence analisou mais de 74 mil tentativas de ataque e sondagens bloqueadas pelos sistemas em mais de cinco milhões de sites e também confirmou que nenhum cliente sofreu invasão efetiva. Relatários publicados pela SOCRadar reforam essa leitura. A companhia localizou um servidor usado por um invasor que deixou os arquivos expostos na internet. Nos documentos, havia um roteiro de ataque criado para invadir servidores com uma versão especial.
Conclusão
A ausência de explorações bem-sucedidas no mundo real sugere que os próprios criminosos estão enfrentando dificuldades. A Amazon Threat Intelligence detectou tentativas em seus sistemas de atração no dia 17 de outubro, antes mesmo da divulgação pública. Avaliando a atividade observada, Ensar Seker, executivo principal de Segurança da Informação da SOCRadar, afirmou que a preocupação do mercado é plenamente justificada por afetar o núcleo da linguagem.
Tags
PHP, vulnerabilidades, Mirai, ASLR, invasão, segurança digital