Empresas, bancos e governos da Europa, da Ásia e da América do Norte tiraram páginas e serviços on-line do ar preventivamente desde quarta-feira (21) para corrigir duas falhas críticas na linguagem de programação PHP, batizadas de PHP2Shell. As vulnerabilidades foram descobertas com o auxílio de inteligência artificial e atingem uma tecnologia que sustenta cerca de 70% dos sites da internet.
Os detalhes técnicos das brechas vazaram na segunda-feira (19), antes de os pacotes de reparo ficarem prontos, o que obrigou a PHP Foundation a antecipar a liberação das correções de emergência em 21 de outubro de 2026. “Dada a gravidade dessas falhas e o uso disseminado do PHP, consideramos este um dos problemas de segurança de maior impacto na memória recente”, afirmou a OpenAI em comunicado, em tradução livre.
Como funcionam as falhas PHP2Shell descobertas pelo GPT-5.6 Sol?
Escondidas no código da linguagem havia anos, as duas brechas foram identificadas por equipes da OpenAI e das empresas de cibersegurança Wiz e Calif, que utilizaram o modelo de inteligência artificial GPT-5.6 Sol na varredura. As falhas permitem a execução remota de código sem exigir senha ou autenticação do usuário, o que possibilita que invasores assumam o controle de servidores web, leiam memórias com dados sensíveis e acessem bancos de dados ou sistemas de arquivos. A Agência de Segurança Nacional dos Estados Unidos (NSA) alertou sobre a gravidade do problema na estrutura dos servidores. “Essas vulnerabilidades frequentemente fornecem um caminho direto para o sistema de arquivos ou banco de dados do servidor”, declarou a agência norte-americana.
Para a cofundadora da empresa belga de cibersegurança Aikido Security, Madeline Lawrence, a exposição antecipada das brechas provocou uma disputa direta de velocidade entre administradores de rede e criminosos digitais. “Os detalhes dessas falhas tornaram-se públicos antes que as correções estivessem prontas, e ataques vêm sendo relatados desde então. Portanto, as empresas estão correndo para atualizar contra invasores que podem usar IA para explorá-las. Essa é toda a corrida”, disse a executiva. O CEO da Microsoft, Satya Nadella, também comentou a mobilização das equipes técnicas: “Foi um dia longo e uma noite longa, eu sei, para todo o pessoal de TI e segurança… Não via nada parecido com isso há muito, muito tempo”.
Dados técnicos e cronologia das falhas no PHP
As vulnerabilidades receberam classificação de risco quase máxima e mobilizaram alertas do Departamento Federal de Investigação (FBI), da NSA e da Agência de Segurança Cibernética e de Infraestrutura (CISA), nos Estados Unidos, além do Centro Nacional de Segurança Cibernética (NCSC), no Reino Unido. Os registros oficiais e o histórico do incidente reúnem os seguintes parâmetros:
Confira também: Windows sofre ataque via ChatGPT com modelo falso Plus 5.6 e comando colado no PowerShell
- Códigos de identificação: CVE-2026-109618 e CVE-2026-109619 (conhecidas em conjunto como PHP2Shell).
- Grau de severidade: nota 9,2 de um total de 10 na escala CVSS v4.0, segundo a equipe do PHP (e nota 10 de 10 na avaliação da empresa watchTowr).
- Sistemas compatíveis e afetados: PHP (Hypertext Preprocessor, originalmente Personal Home Page), linguagem de código aberto usada por plataformas como WordPress, Drupal, Joomla, Magento e Wikipedia (Wikimedia Foundation), com impacto potencial desde a versão 5, lançada em 2004, segundo avaliação do CERT-EU (equipe de resposta a emergências cibernéticas da União Europeia).
- Sexta-feira (16): o governo dos Estados Unidos é notificado sobre as brechas, segundo a Casa Branca.
- Sábado (17): a divisão Amazon Threat Intelligence (AWS), cujo diretor de Segurança da Informação (CISO) da Amazon Integrated Security é CJ Moses, detecta a primeira tentativa de ataque contra seu servidor de isca (sistema chamado honeypot) MadPot, vinda de um endereço IP anonimizado enquanto a falha ainda estava sob embargo.
Escalada para milhões de ataques nas redes da Cloudflare
O volume de investidas contra servidores vulneráveis multiplicou-se logo após o anúncio oficial das correções na quarta-feira (21). O CEO da Cloudflare, Matthew Prince, empresa que também conta com o diretor de Tecnologia (CTO) Dane Knecht na gestão de sua infraestrutura de proteção e distribuição de tráfego, detalhou a progressão dos disparos ao longo do dia.
“Nas 10 horas anteriores ao anúncio público, em toda a rede da Cloudflare vimos milhares de tentativas de explorá-la. Isso saltou para dezenas de milhares nos 45 minutos após o anúncio, centenas de milhares em 2 horas e milhões agora”, afirmou Prince.
Sobre o resultado dessas investidas, ainda não há consenso entre os órgãos de monitoramento. Enquanto a CISA, a empresa Huntress e os governos do Reino Unido e do Japão informaram não ter indícios ou confirmação de invasões bem-sucedidas até o momento, a empresa de cibersegurança watchTowr reportou ter observado exploração real das falhas.
Veja também: IA da OpenAI usa carteira de criptomoedas sem autorização
Impacto do PHP2Shell em bancos e governos da Europa e da Ásia
A recomendação das agências de segurança para atualizar os sistemas levou hospitais, ferrovias, companhias aéreas, instituições financeiras e órgãos públicos a suspender operações digitais para aplicar os reparos. No Reino Unido, que tem Elizabeth Lloyd como ministra do governo, 32 serviços governamentais saíram totalmente do ar e outros quatro ficaram parcialmente indisponíveis durante a manutenção; páginas da prefeitura de Edimburgo e da emissora pública BBC também foram desligadas temporariamente.
No Japão, onde a primeira-ministra Sanae Takaichi e o secretário-chefe de Gabinete Minoru Kihara acompanham a resposta governamental, o banco Mitsubishi UFJ Financial Group (MUFG) interrompeu serviços de internet, e o Ministério das Finanças e a Receita retiraram páginas do ar enquanto Takaichi pediu a instalação imediata das correções. Governos da Coreia do Sul e da China ordenaram inspeções de segurança e acionaram protocolos de emergência.
Na Europa continental, portais públicos foram desligados de forma preventiva na França, na Alemanha, na Bélgica, nos Países Baixos e na Finlândia. Nesta quinta-feira (22), operadores globais seguem instalando os pacotes de atualização, e o órgão estatal de informática da Finlândia prevê que a normalização completa dos serviços afetados pode levar semanas.