Autoridade dos EUA confirma ataques com PHP2Shell e ordena correção urgente

A Agência de Cibersegurança e Infraestrutura dos Estados Unidos (CISA) confirmou, nesta segunda-feira (26), que duas vulnerabilidades críticas no PHP, coletivamente chamadas de “PHP2Shell”, estão sendo ativamente exploradas em ataques cibernéticos.

O alerta resultou em uma ordem direta para que agências federais norte-americanas apliquem os patches de segurança nos servidores antes de prazos rigorosos, o que reforça o risco para milhões de sistemas vulneráveis na internet.

As falhas , rastreadas como “CVE-2026-109618? e “CVE-2026-109619?, afetam o núcleo da linguagem de programação e permitem que criminosos obtenham execução remota de código sem precisar de privilégios ou senhas.

“Esses tipos de vulnerabilidades representam um vetor de ataque frequente para criminosos cibernéticos e oferecem riscos severos aos sistemas”, alertou a CISA, ao oficializar a inclusão das brechas no catálogo de exploração ativa.

CISA confirma ataques e ordena correção urgente para falhas no PHP Foto: Reprodução/ChatGPT Embora os desenvolvedores do PHP tenham liberado correções para as versões suportadas, relatórios de empresas de cibersegurança como Cloudflare , Hadrian e Previdian indicam que tentativas de exploração em massa começaram antes mesmo da divulgação oficial dos patches.

A linguagem em questão sustenta 70% dos sites da internet, com mais de 5,1 milhões de hosts expostos e 3,8 milhões de instâncias vulneráveis a portas abertas segundo dados do VirusTotal.

Especialistas da watchTowr confirmaram a circulação de códigos maliciosos direcionados a essas brechas.

“A exploração atinge servidores expostos que rodam configurações vulneráveis, exigindo que administradores priorizem a atualização imediata do ambiente para evitar comprometimentos”, destacou a equipe da empresa de cibersegurança, em análise técnica .

Extorsão e vazamento de dados em campanhas paralelas Investigações complementares conduzidas pela Unidade de Pesquisa de Ameaças da SOCRadar revelaram que uma infraestrutura ligada a operadores maliciosos também foi utilizada em campanhas de extorsão contra o setor imobiliário no Japão.

Os criminosos comprometeram servidores para extrair bancos de dados com informações confidenciais de usuários, incluindo credenciais e dados financeiros, utilizando o material roubado para pressionar empresas afetadas.

We're now seeing upload progress probes for PHP’s critical RCE vulnerability, CVE-2026-109618.

Our honeypots captured three HTTP requests from two source IPs, including PHP test code embedded in upload filenames.