Duas vulnerabilidades críticas no PHP, apelidadas em conjunto de PHP2Shell, desencadearam um aumento nas tentativas de exploração que o CEO da Cloudflare, Matthew Prince, descreveu como uma passagem de milhares para milhões em poucas horas após a publicação dos patches oficiais.
As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, foram corrigidas na quarta-feira, 21 de outubro. Segundo Prince, a própria rede da Cloudflare registou um salto nas tentativas de ataque quase de imediato após a disponibilização das correções, à medida que agentes oportunistas se apressaram a explorar servidores que ainda não tinham sido atualizados.
Indícios recolhidos separadamente apontam para uma exploração anterior à divulgação oficial. As primeiras tentativas contra servidores vulneráveis às duas CVE foram registadas a 17 de outubro, quatro dias antes da publicação do patch. Essas análises iniciais visavam ambientes de teste e tiveram origem numa rede comercial de anonimização, de acordo com os dados disponíveis. Detalhes sobre as falhas subjacentes vazaram depois online a 20 de outubro, um dia antes do patch oficial, dando aos atacantes uma janela adicional para se prepararem antes de a correção se tornar pública.
A Amazon publicou um relatório de segurança sobre esta primeira vaga de ataques, documentando o padrão de atividade que antecedeu o ciclo formal de divulgação e correção.
Dimensão da exposição
A dimensão da população vulnerável é significativa. As empresas de varrimento da internet Censys e VulnCheck estimam que entre 1,5 e 2,6 milhões de servidores expostos à internet ainda correm versões não corrigidas de PHP afetadas por estas falhas. Separadamente, estima-se que mais de 800 mil máquinas estejam a correr versões de PHP que já atingiram o fim de vida útil, o que significa que não receberão atualizações de segurança oficiais independentemente do atual ciclo de correção.
Para as organizações europeias, os números de exposição são relevantes porque o PHP continua amplamente utilizado na infraestrutura web do continente, incluindo por operadores do setor público e institucional que muitas vezes correm pilhas de software mais antigas. A rapidez com que as tentativas de exploração escalaram após a publicação do patch sublinha a velocidade com que ferramentas automatizadas de varrimento conseguem transformar uma falha divulgada numa arma assim que se torna pública, deixando aos administradores uma janela estreita para aplicarem correções antes de os servidores serem alvo de ataques em larga escala.
A PHP Foundation, que mantém a linguagem, emitiu os patches que corrigem ambas as CVE. Não foram detalhadas orientações técnicas adicionais além da publicação do patch no material analisado para esta reportagem.
