Se você encontrou sites em modo de manutenção hoje, pode ser uma medida de segurança. Relatos de ataques que exploram duas vulnerabilidades críticas do PHP levaram a alertas para a instalação de atualizações de emergência e à consideração da desativação temporária dos serviços afetados até que as correções sejam implementadas.
As vulnerabilidades, conhecidas como PHP2Shell, são rastreadas como CVE-2026-109618 e CVE-2026-109619. Ambas possuem uma classificação de gravidade de 9,2 em 10.
Por que isso é importante
O PHP é uma linguagem de programação que funciona nos bastidores, dando suporte a grande parte da web. Ele é a base do WordPress, Drupal, Joomla, Magento e muitos outros aplicativos, incluindo softwares cujos usuários podem nem perceber que o PHP está envolvido.
Uma exploração bem-sucedida dessa vulnerabilidade poderia permitir que um invasor executasse código malicioso em um servidor afetado sem precisar fazer login. Esse código seria executado com as permissões disponíveis para o processo PHP, potencialmente permitindo que os invasores roubassem dados de aplicativos, alterassem o conteúdo de sites ou estabelecessem uma porta dos fundos .
A equipe do PHP afirma que todas as instalações do PHP que atendem a solicitações da web estão em risco. Em algumas configurações, um invasor pode explorar uma vulnerabilidade antes mesmo que o código do próprio site seja executado.
O diretor de tecnologia da Cloudflare, Dane Knecht, relatou o surgimento de "ataques iniciais", alertando que as medidas de mitigação do firewall são apenas paliativas.
Os patches de emergência já estão disponíveis.
A equipe do PHP agendou suas atualizações de segurança emergenciais para 21 de outubro, às 10h (horário do leste dos EUA, 14h UTC). Ela já lançou correções para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP e recomenda fortemente que os usuários atualizem imediatamente. Administradores devem verificar com seu provedor de hospedagem ou fornecedor do sistema operacional os pacotes atualizados apropriados.
Você ainda poderá encontrar sites offline enquanto os administradores instalam as atualizações e verificam seus sistemas.
O CERT-EU recomenda identificar e corrigir aplicações baseadas em PHP o mais rápido possível. Quando uma correção imediata não for viável, aconselha considerar o isolamento de aplicações expostas à internet em redes públicas.
O risco pode persistir mesmo após a emergência atual.
A preocupação a longo prazo reside na infraestrutura esquecida: sites abandonados, aplicativos sem suporte e dispositivos conectados com interfaces de gerenciamento baseadas em PHP. Instalações vulneráveis podem permanecer expostas se ninguém fizer a manutenção ou se um fornecedor deixar de disponibilizar atualizações.
O PHP 8.1 e versões anteriores não recebem mais atualizações de segurança de rotina do projeto PHP. Administradores que utilizam essas versões devem verificar se o fornecedor disponibiliza uma correção ou providenciar uma atualização para uma versão compatível.
Os proprietários de sites devem identificar quem é o responsável por atualizar a instalação do PHP. Atualizar o WordPress ou seus plugins não é o mesmo que atualizar o PHP. Os provedores de hospedagem ou administradores de servidor podem precisar aplicar a correção.
Para os visitantes, uma indisponibilidade temporária por si só não significa que um site foi invadido. Pode refletir uma medida de segurança enquanto os administradores instalam atualizações.
No entanto, os consumidores precisam ter muito cuidado, pois um "site confiável" pode não ser mais confiável, e não apenas por causa do PHP2Shell, mas também por causa de oito certificados TLS comprometidos .
Shahak Shalev, Chefe Global de Pesquisa sobre Fraudes e IA na Malwarebytes , disse:
“Isto é uma mina de ouro para hackers Eles podem sequestrar sites legítimos para tirar proveito da reputação do site e realizar ações como phishing, distribuir software malicioso por meio de canais confiáveis. As oportunidades são infinitas.”
O que fazer
Se você é um visitante do site:
- Alguns sites podem ficar temporariamente offline enquanto são atualizados.
- Fique atento a conteúdo inesperado, downloads ou redirecionamentos, e solicitações de login repetidas, mesmo em sites conhecidos.
- Se algo parecer errado, saia da página.
- Você não precisa instalar atualizações do PHP no seu próprio dispositivo.
Se você é proprietário de um site:
- Peça ao seu provedor de hospedagem ou de TI para confirmar se as correções do PHP estão instaladas , e não apenas agendadas, em todos os seus sites e aplicativos.
- Se não puderem corrigir o problema imediatamente, pergunte se os serviços afetados devem ser temporariamente desativados.
- Se você gerencia seus próprios servidores, siga as instruções de atualização do PHP .
- Está usando uma versão não suportada do PHP? Verifique se há alguma correção disponível junto ao fornecedor ou atualize para uma versão compatível.
O que Malwarebytes está fazendo
- Protegendo você contra sites invadidos: a proteção web Malwarebytes e Browser Guard bloqueiam sites nocivos conhecidos, páginas fraudulentas e downloads perigosos. Nossos pesquisadores monitoram sites comprometidos por essas vulnerabilidades para que possamos adicioná-los rapidamente às nossas listas de bloqueio.
- Atualização dos nossos próprios sites: Utilizamos um provedor de hospedagem gerenciada e estamos trabalhando com eles para instalar as correções de PHP. Estamos monitorando atentamente nossos sites até que as atualizações sejam implementadas.
Impedir que as ameaças causem qualquer dano.
Malwarebytes Browser Guard Bloqueia automaticamente páginas de phishing e sites maliciosos. Gratuito, instalação com um clique. Adicione ao seu navegador →
