CISA confirma ataques com falhas críticas no PHP2Shell
As brechas permitem execução remota de código em servidores vulneráveis; desenvolvedores do PHP já lançaram atualizações para as versões com suporte.
Resumo em 30 segundos
A CISA confirmou a exploração ativa de duas falhas críticas do PHP, chamadas de PHP2Shell, e determinou que órgãos federais dos EUA instalem as correções dentro de prazos definidos. Embora as atualizações estejam disponíveis, servidores já comprometidos podem exigir buscas por arquivos maliciosos, revisão de tarefas agendadas e troca de credenciais.
A Agência de Cibersegurança e Infraestrutura dos Estados Unidos (CISA) confirmou nesta segunda-feira (26) que duas falhas críticas do PHP estão sendo exploradas em ataques. A agência determinou que órgãos federais norte-americanos instalem as correções dentro de prazos definidos, diante do risco de invasões a servidores vulneráveis.
As vulnerabilidades, chamadas em conjunto de PHP2Shell e identificadas como CVE-2026-109618 e CVE-2026-109619, afetam o núcleo da linguagem de programação. Elas podem permitir que um invasor execute comandos remotamente no servidor sem senha ou outros privilégios. Execução remota de código é a capacidade de fazer um sistema rodar instruções enviadas por uma rede, o que pode abrir caminho para controlar o equipamento ou acessar dados armazenados nele.
A CISA incluiu as falhas em seu catálogo de vulnerabilidades exploradas ativamente e afirmou que esse tipo de brecha é usado com frequência por criminosos e representa riscos graves aos sistemas. Desenvolvedores do PHP já publicaram atualizações para as versões com suporte. Relatos de empresas de segurança, porém, apontam que tentativas de exploração em larga escala começaram antes da divulgação oficial das correções.
Dados do VirusTotal citados em análises de segurança indicam mais de 5,1 milhões de hosts expostos e 3,8 milhões de instâncias vulneráveis com portas abertas. O PHP é usado em cerca de 70% dos sites da internet, segundo a matéria. Pesquisadores da empresa watchTowr também identificaram códigos maliciosos voltados às falhas e recomendaram que administradores priorizem a atualização de servidores expostos com configurações vulneráveis.
Uma investigação da Unidade de Pesquisa de Ameaças da SOCRadar relacionou ferramentas associadas ao PHP2Shell a uma infraestrutura usada em campanhas de extorsão contra empresas imobiliárias no Japão. Nesse caso, servidores foram comprometidos para retirar bancos de dados com informações confidenciais, como credenciais e dados financeiros. Os criminosos usaram os dados roubados para pressionar as empresas afetadas.
A análise da SOCRadar, contudo, apontou que a invasão inicial ocorreu por credenciais reutilizadas e falhas de configuração em hospedagens compartilhadas. As ferramentas ligadas ao PHP2Shell foram incorporadas aos servidores dos atacantes depois que as vulnerabilidades foram divulgadas, segundo a investigação. O caso mostra que corrigir a falha não elimina outros caminhos de invasão.
Se um servidor já tiver sido comprometido, instalar a atualização não basta para remover a ameaça. A equipe da SOCRadar recomenda procurar arquivos maliciosos ocultos, verificar tarefas agendadas e trocar senhas e chaves de acesso. Essas medidas ajudam a identificar persistência do invasor e a reduzir o risco de novos acessos.
Para entender
- CISA
- Agência federal dos Estados Unidos responsável por apoiar a proteção de sistemas e infraestrutura contra ameaças cibernéticas. A agência mantém um catálogo de vulnerabilidades conhecidas por serem exploradas ativamente.
