PHP-ocalypse: Como dois bugs críticos da web quase quebraram a internet

Na quarta-feira, uma tecnologia web de código aberto chamada PHP quase quebrou a Internet, graças a duas vulnerabilidades que permaneceram inativas por anos, até que pesquisadores recentemente descobriram uma maneira de explorá-las.

Os bugs são dublados PHP2Shelloficialmente designado como CVE-2026-109618 e CVE-2026-109619. Em termos simples, os bugs permitem que qualquer pessoa que saiba como explorá-los invada um sistema online rodando PHP, como um site ou servidor voltado para a Internet, sem precisar de uma senha para acessar ou modificar seus dados.

No que diz respeito às situações, esta foi bastante considerável, forçando milhões de pessoas em todo o mundo a lutar para corrigir os seus sistemas antes que hackers mal-intencionados pudessem abusar deles.

A PHP Foundation, que mantém o software web PHP, lançou publicamente patches na quarta-feira que corrigiram os bugs, que quando instalados evitam que servidores voltados para a web sejam atacados. A fundação já havia dado a algumas das maiores empresas de internet e hosts da web que dependem de PHP uma vantagem inicial na aplicação de patches.

Graças a semanas de conversas de bastidores e a uma coordenação cuidadosa em toda a indústria, o mundo – até agora – evitou amplamente a exploração em massa da Internet. A partir de quarta-feira, os governos começaram a instar os cidadãos e as empresas com websites a tomarem medidas para mitigar os riscos para os seus fins. Uma ampla gama de indústrias fechou seus sites e retirou os serviços do ar para corrigir seus sistemas. Bancos, varejistas, sites de jogos, lojas online, hospitais e algumas agências governamentais desligaram seus servidores para evitar ataques.

Mas os investigadores de segurança alertam que a situação ainda não acabou e que um grande número de sistemas em todo o mundo permanecem sem correção e vulneráveis ​​a hacks e roubo de dados.

Também é improvável que este seja o último grande susto do software da Internet, com alguns esperando que o advento da IA ​​descubra rapidamente vulnerabilidades ainda não descobertas que estão à espera de serem encontradas e abusadas.

O que aconteceu?

Pesquisadores de segurança da Califórnia encontraram dois bugs no PHP, linguagem de programação amplamente utilizada em todo o mundo para construção de sites e aplicativos web, tanto na internet quanto hospedados localmente em redes corporativas, como intranets e sites internos.

PHP é de código aberto, o que significa que é gratuito e está disponível para ser usado por qualquer pessoa por quase qualquer motivo. Como tal, tornou-se uma das linguagens de programação web mais populares e amplamente utilizadas na web atualmente.

Os dois erros foram descoberto pela primeira vez em 2024 mas não foram considerados exploráveis ​​na época e não foram corrigidos. Pesquisadores de segurança descobriram recentemente uma maneira de explorá-los, levando-os a alertar os fabricantes do software para consertá-los.

Calif alertou a PHP Foundation, que iniciou um período de correção dos bugs e divulgação coordenada. A fundação fez isso oferecendo informações e patches sobre problemas de segurança sob um embargo fortemente guardado – essencialmente mantido de forma confidencial até um prazo específico – para dar às grandes empresas a oportunidade de se adiantarem na instalação das correções.

Por que os bugs são tão sérios?

O PHP2Shell é bastante sério porque pode ser abusado remotamente pela internet e sem que a vítima precise clicar em um link ou abrir um arquivo. Isso é conhecido como execução remota de código e é um dos tipos de bugs mais prejudiciais a serem explorados porque pode conceder a um hacker em qualquer lugar do mundo controle efetivamente total sobre um sistema afetado e sem correção.

Pior ainda, esses bugs específicos do PHP tornam possível invadir qualquer sistema não corrigido na Internet sem a necessidade de uma senha ou qualquer outra credencial na Internet, conhecido como acesso não autenticado.

Isso permitiria que um hacker mal-intencionado plantasse malware no computador, para roubar dados ou simplesmente manter uma posição de longo prazo à qual pudesse retornar mais tarde.

Por que 70% da web foi afetada?

Os bugs são particularmente arriscados porque o PHP é um software extremamente popular, em parte porque é gratuito e relativamente fácil de usar, mas também porque existe há décadas. Cerca de 70% da Internet voltada para a Web depende de PHP, embora seu uso tenha sido diminuindo lentamente ao longo dos anos em favor de linguagens de programação mais novas e seguras.

Dada a sua popularidade, alguns dos sites mais populares do mundo são executados em software web que depende de PHP, como WordPress (que hospeda o TechCrunch!), bem como Drupal, Joomla e MediaWiki, que alimenta a gigante da enciclopédia online Wikipedia.

PHP é apenas uma das muitas tecnologias antigas, mas funcionais, que sobreviveram às ondas da Internet e às gerações que agora são tão onipresentes que são semelhantes à cola que mantém grande parte da Internet unida. Muitas vezes, essas ferramentas são desenvolvidas por mantenedores de código aberto, que não são pagos pelo trabalho que realizam e, como tal, não podem pagar revisões de segurança de terceiros – mas ainda são amplamente utilizadas por empresas que não contribuem financeiramente para os projetos.

A IA foi usada para descobrir os bugs?

Pesquisadores de segurança da Califórnia foram creditados pela descoberta dos bugs no início deste ano, como parte de uma auditoria de segurança do código PHP. A Califórnia estava participando do Iniciativa Hackear o Planeta pelo fabricante de modelos de IA OpenAI e pela gigante de segurança em nuvem Wiz, que posteriormente verificou as explorações de prova de conceito que a Califórnia fez.

No artigo da Califórnia (com quadrinhos – é ótimo, Confira), os pesquisadores explicaram que a IA foi usada para ajudar na exploração do bug, mas que a maior parte do trabalho dependia do conhecimento que os pesquisadores já possuíam e que conheciam bem a base de código e o histórico de exploração do PHP.

“Nenhum modelo é simplesmente capaz de descobrir ‘todos os bugs’ com instruções simples. Pelo menos por enquanto”, escreveu Calif.

Por que os bugs foram explorados antes da divulgação?

Apesar dos esforços para manter os detalhes dos bugs em segredo até quarta-feira, parece que houve alguma exploração do PHP2Shell antes do lançamento dos patches.

A Amazon, que tem enorme visibilidade sobre ameaças online devido ao seu tamanho e escala, disse em uma postagem de blog que detectou a exploração do PHP2Shell cerca de uma semana antes dos patches do PHP estarem disponíveis, sugerindo que alguém, em algum lugar, sabia como explorar os bugs antes que seus detalhes estivessem amplamente disponíveis. A Amazon disse que não está claro como o hacker soube das vulnerabilidades, mas que os defensores deveriam procurar evidências de exploração já em 17 de outubro.

Existem algumas teorias sobre o que aconteceu. Depois que um bug é corrigido, os detalhes do patch podem se tornar imediatamente aparentes, especialmente se o código — como no caso do PHP — for de código aberto, tornando-o público e inspecionável. Explorar os bugs pode não ser fácil, mas saber onde está o bug e como foi corrigido pode permitir que hackers mal-intencionados entendam onde atacar e como desenvolver suas explorações.

É possível que tenha havido um vazamento ou falha na comunicação em algum momento durante o embargo. A comunidade de código aberto é enorme e o controle de informações dessa forma depende da boa-fé.

Também é possível que hackers tenham descoberto os bugs antecipadamente, de forma independente ou por meio de espionagem.

A Fundação PHP culpou uma empresa por colocar os patches no ar horas antes do término do período de embargo, o que poderia ter dado a alguns invasores uma vantagem se obtivessem detalhes do patch antes de outros. Mas isso não leva em conta a atividade de uma semana detectada pela Amazon.

Os pesquisadores dizem que os bugs requer muito trabalho para se tornar explorável e transformar o bug em arma tem sido um desafio – mas não impossível – o que explica por que ainda não vimos uma escala de exploração em massa.

Mas na sexta-feira, agora há comprometimentos confirmados e atividades pós-exploração relacionadas ao bug do PHP, de acordo com gigantes da segurança Redes Palo Alto e Trilha de Bits. Isso significa que o bug foi detectado sendo abusado para invadir e realizar atividades maliciosas ativamente em um alvo ainda desconhecido.

Grandes partes da Internet foram fechadas, mas estão voltando. Evitamos o pior?

Ainda é cedo, mas é um sinal encorajador de que não houve quaisquer sinais de exploração em massa – mas ainda não estamos fora da zona de perigo.

Matthew Prince, executivo-chefe da gigante de segurança e monitoramento de rede Cloudflare, que também possui telemetria em uma vasta parte da Internet, disse esta semana que houve um número exponencial de tentativas de explorar os bugs após sua divulgação. Isto dá alguma perspectiva sobre a rapidez com que os agentes mal-intencionados estão tentando abusar das falhas para seus próprios ganhos.

O PHP não é encontrado apenas em servidores web, mas também é usado em ferramentas de desenvolvedor, linha de comando e pacotes de terminal, além de outros componentes de software usados ​​por roteadores, dispositivos de armazenamento e dispositivos de segurança empresarial, como firewalls e VPNs.

Devemos esperar ver a exploração do PHP2Shell no futuro, já que equipes de TI menores e desenvolvedores individuais podem demorar para atualizar. Haverá também um período em que diversas empresas que dependem e integram o PHP em seus próprios produtos e softwares, que também precisarão de atualização.

À medida que mais dispositivos e sistemas são atualizados, a superfície de ataque diminuirá com o tempo. Mas os efeitos em cascata desses bugs ainda poderão ser sentidos nos próximos anos, especialmente em sistemas legados que não têm meios de serem atualizados.

Isso acontecerá novamente?

Este foi um daqueles raros dias de interrupção da Internet que vi durante meu tempo como repórter de segurança. Em 2016, uma enorme botnet registro de internet inundado Dyn com o tráfego indesejado fazendo com que muitos dos principais serviços da web parassem. Em 2017, a Coreia do Norte usou ferramentas de hacking vazadas do governo dos EUA para infectar o sistema de saúde do Reino Unido com ransomware. E em 2024, um atualização CrowdStrike com defeito desencadeou uma enorme interrupção global, fazendo com que a maioria dos computadores Windows do mundo travassem de uma só vez.

Segundo todos os relatos, com o PHP2Shell, a Internet escapou do que poderia ter sido um dia extremamente doloroso e prejudicial. Mas é improvável que seja o último grande incidente a atingir a web, e este pode ser o primeiro de uma tendência de incidentes que exploram fraquezas na tecnologia legada. Muito disso se deve a falhas inerentes a softwares antigos, mas onipresentes, que ainda não foram descobertos, juntamente com ferramentas de IA que estão facilitando a localização de falhas.

O PHP, assim como outras linguagens e tecnologias de programação web de décadas atrás, são “inseguros para a memória”, o que significa que podem ser atacados por toda uma classe de vulnerabilidades que podem forçar o software a vazar ou derramar dados confidenciais do armazenamento de memória do software. A Agência de Segurança Nacional diz que cerca de 75% de todas as vulnerabilidades exploradas ativamente abusam de falhas relacionadas à memória, ou seja, os hackers as utilizam muito.

Isso ajudou a impulsionar o uso de linguagens seguras para memória, como Python, Rust e Swift, que não podem ser abusadas da mesma forma que as vulnerabilidades de memória. Como tal, estas linguagens tornam-nas amplamente imunes a uma ampla gama de vulnerabilidades que ainda afectam os seus antecessores.

Mas isso ainda deixa um pedaço inteiro da Internet rodando um monte de tecnologias, como PHP, codecs de mídia e vídeo, bibliotecas de compressão e outros softwares de décadas atrás – que, quando eles quebrarem, terão implicações enormes para o resto da web.