Vulnerabilidades PHP2Shell permitem controle de servidores web sem login; CISA, NSA e FBI dos EUA alertam para aplicar correções imediatamente ou desligar servidores

WASHINGTON

Duas vulnerabilidades críticas que permitem a execução de comandos em servidores sem autenticação foram descobertas no PHP, uma linguagem de programação amplamente utilizada em sites e servidores de aplicações web, levando a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA), a Agência de Segurança Nacional (NSA) e o Federal Bureau of Investigation (FBI) a exigirem sucessivamente a aplicação imediata de patches. De 21 a 23 de outubro (horário dos EUA), as três agências divulgaram os identificadores de vulnerabilidade CVE-2026-109618 e CVE-2026-109619 por meio de alertas, comunicados à imprensa e um aviso de utilidade pública (PSA). Todas as três compartilharam a recomendação de que organizações impossibilitadas de atualizar imediatamente devem colocar os sistemas afetados offline.

CISA afirma que vulnerabilidades “php2shell” permitem execução remota de código sem autenticação

Em um alerta emitido em 21 de outubro, a CISA afirmou que as duas vulnerabilidades, apelidadas de “php2shell”, permitem a execução remota de código sem autenticação no PHP. Todas as instalações do PHP que atendem a requisições web são afetadas. A CISA citou a combinação do Apache com mod_php, PHP-FPM, php-cgi, FrankenPHP e LiteSpeed como exemplos. Entre essas, a combinação mod_php foi classificada pelos responsáveis pelo PHP como de risco mais elevado, acrescentou a CISA.

As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A CISA declarou que as organizações devem atualizar para essas versões imediatamente. No entanto, a CISA observou que, até a publicação do alerta, não havia observado nenhum ataque bem-sucedido explorando essas vulnerabilidades em ambiente real. A conta CISA Cyber publicou no X no mesmo dia os dois identificadores de vulnerabilidade, informando que as organizações devem aplicar as correções imediatamente.

A CISA atualizou o alerta em 23 de outubro, adicionando regras de detecção SIGMA para identificar atividades suspeitas e incorporando materiais de agências parceiras. O material dos parceiros inclui orientações do Centro Nacional de Segurança Cibernética do Reino Unido, do Centro Australiano de Segurança Cibernética da Diretoria de Sinais da Austrália, do Centro Nacional de Segurança Cibernética da Nova Zelândia, do Centro Canadense de Segurança Cibernética e do Centro Nacional de Segurança Cibernética da Holanda.

No mesmo dia, a NSA também emitiu um alerta por meio de um comunicado de imprensa separado.

NSA adverte que agentes cibernéticos provavelmente transformarão vulnerabilidade em arma

Em um comunicado de imprensa em 21 de outubro, a NSA declarou que os desenvolvedores do PHP lançaram correções de código aberto naquele dia (quarta-feira). A NSA observou que o PHP (abreviação de “PHP: Hypertext Preprocessor”) funciona na maioria dos principais sistemas operacionais, é executado diretamente em servidores web e é incorporado ao HTML para criar páginas dinâmicas. Por ser tão amplamente utilizado, afirmou a NSA, essa falha pode criar um ambiente propício para exploração. A NSA apelidou esse conjunto de vulnerabilidades de “PHP2Shell” e declarou que está priorizando a identificação de agentes cibernéticos maliciosos que tentam explorá-las.

A NSA afirmou que invasores podem assumir o controle dos servidores web afetados sem acesso ou autenticação prévia. Por meio desse caminho, os invasores podem roubar dados confidenciais, interromper serviços ou se mover mais profundamente na rede, acrescentou a agência. A NSA declarou que as vulnerabilidades são falhas no próprio PHP, e não nas aplicações hospedadas ou configurações, deixando servidores que utilizam versões afetadas do PHP expostos a ataques.

A NSA, responsável pela segurança nacional dos EUA, afirmou que “é altamente provável que agentes cibernéticos transformem as vulnerabilidades PHP2Shell em armas”. Diante da gravidade do risco, afirmou que a aplicação imediata de patches é necessária em todos os departamentos e agências do governo federal norte-americano. A NSA recomendou manter vigilância sobre dispositivos e serviços expostos à internet que dependem do PHP nas próximas semanas, aprimorar o registro de logs e substituir serviços com versões do PHP em fim de vida útil (EOL) incompatíveis com as correções. A conta de cibersegurança da NSA também publicou o alerta no X no mesmo dia.

Na publicação, a NSA declarou que essas vulnerabilidades frequentemente fornecem um caminho direto para o sistema de arquivos ou banco de dados do servidor. Recomendou colocar os sistemas offline se a atualização imediata não for viável, antecipando que divulgará diretrizes detalhadas em breve.

A NSA aconselhou a acompanhar as atualizações de perto, observando que outros fornecedores de software podem lançar correções assim que estiverem disponíveis, e informou que as orientações de mitigação mais recentes podem ser consultadas na página de avisos de segurança dos desenvolvedores do PHP. A NSA afirmou que colaborará com a comunidade de inteligência, a CISA e outros especialistas para identificar e corrigir vulnerabilidades em sistemas governamentais e de segurança nacional.

CISA exige inventário completo de sistemas que utilizam PHP

A CISA exigiu inicialmente que as organizações identifiquem todos os sistemas que executam PHP em seus ambientes. Como o PHP frequentemente está incorporado a outros softwares, pode não ser evidente à primeira vista, apontou a agência. A CISA orientou, em seguida, que os sistemas expostos à internet sejam corrigidos imediatamente. Organizações que não puderem atualizar de imediato ou que continuem utilizando versões sem suporte, como o PHP 8.1 ou anterior, devem colocar os sistemas baseados em PHP offline até a conclusão das correções ou atualizações.

A CISA recomendou a leitura do comunicado oficial de segurança dos desenvolvedores do PHP para verificar as instruções de correção. Firewalls de aplicações web podem oferecer alguma proteção até que os sistemas sejam atualizados, segundo a CISA. O órgão recomendou monitorar atividades suspeitas, como processos de trabalho do PHP executando shells ou baixando ferramentas.

O FBI emitiu o aviso de utilidade pública I-102326-PSA em 23 de outubro, em sequência à publicação nas redes sociais feita em 21 de outubro. O FBI declarou que o PHP é uma linguagem de programação amplamente utilizada que sustenta sites e aplicações web, e que as duas vulnerabilidades podem permitir que agentes cibernéticos maliciosos executem código remotamente no núcleo do PHP, colocando dados confidenciais e redes em risco. A Divisão Cibernética do FBI publicou essa atualização no X em 21 de outubro.

O FBI afirmou que as atualizações de segurança já estão disponíveis e devem ser aplicadas imediatamente. Ao identificar a presença do PHP, o FBI recomendou priorizar sistemas expostos à internet e produtos de fornecedores que incluam o PHP em pacote, além de monitorar se processos do PHP nos servidores web executam inesperadamente shells de comando ou baixam arquivos. O FBI informou que as informações mais recentes podem ser consultadas nos comunicados dos desenvolvedores do PHP, no aviso de segurança CERT-EU 2026-018 da União Europeia e no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) da CISA. O FBI solicitou a empresas e operadores de sites que verifiquem se seus sistemas foram afetados. Caso sejam detectados sinais de comprometimento, a agência orientou isolar os sistemas afetados, preservar os logs do servidor web e do PHP e relatar o incidente ao escritório local do FBI mais próximo ou ao ic3.gov. O FBI declarou que essas notificações auxiliam as autoridades policiais a identificar os responsáveis e alertar outras organizações antes que sofram danos.

Fontes (KST)

• CISA dos EUA, “Critical Vulnerabilities in PHP Require Immediate Patching” (publicado em 21 de outubro de 2026, atualizado em 23 de outubro): https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• Agência de Segurança Nacional (NSA) dos EUA, “NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities” (21 de outubro de 2026): https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
• Federal Bureau of Investigation (FBI) dos EUA, “Critical Vulnerability Alert: PHP Core” (Aviso de Utilidade Pública I-102326-PSA, 23 de outubro de 2026): https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
• Publicação da conta CISA Cyber no X: https://x.com/CISACyber/status/2112947079458717969
• Publicação da conta de cibersegurança da NSA no X: https://x.com/NSACyber/status/2112903220209098897
• Publicação da Divisão Cibernética do FBI no X: https://x.com/FBICyberDiv/status/2112921648252719420