Hackers tentaram explorar duas vulnerabilidades críticas no PHP quatro dias antes da divulgação das correções, segundo registros da Amazon.
Em 17 de outubro, a empresa identificou uma tentativa de ataque contra falhas capazes de permitir a execução remota de comandos em servidores, mesmo sem que o invasor possuísse senha.
Uma delas havia sido identificada em 2024, mas permaneceu sem correção definitiva até que novas pesquisas, realizadas com auxílio de inteligência artificial, demonstraram a possibilidade de comprometimento dos sistemas.
As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 receberam classificação de gravidade 9,2, em uma escala de até dez.
Ambas afetam o funcionamento interno do PHP, linguagem utilizada em sites, sistemas empresariais e plataformas de publicação.
Os pesquisadores conseguiram demonstrar ataques capazes de executar códigos maliciosos em determinadas configurações, enquanto empresas de segurança identificaram tentativas de exploração antes e depois da divulgação pública.
Ataques antecipados
A tentativa identificada pela Amazon ocorreu em um ambiente de monitoramento conhecido como honeypot, utilizado para atrair atividades maliciosas e registrar o comportamento dos invasores.
O ataque partiu de um endereço associado a um serviço comercial de anonimização, recurso que dificulta a identificação de quem realizou a operação.
A empresa não conseguiu determinar como os responsáveis obtiveram informações sobre a vulnerabilidade antes de sua divulgação.
Entretanto, os registros indicam que já existiam tentativas de exploração enquanto pesquisadores e desenvolvedores preparavam as correções.
Novas investidas foram identificadas em 21 de outubro, quando ferramentas capazes de reproduzir os ataques começaram a circular publicamente.
A Cloudflare também acompanhou a movimentação. A empresa havia preparado proteções para seus clientes desde o início do mês, em coordenação com pesquisadores envolvidos na descoberta.
Os registros dessas companhias documentam tentativas de ataque, mas não permitem afirmar que todos os sistemas visados foram comprometidos.
Para Sergey Lozhkin, chefe do Centro de Pesquisa para as regiões APAC e META da Kaspersky GReAT, o risco está relacionado à abrangência da linguagem nos serviços digitais.
“Considerando o papel do PHP no suporte a milhões de servidores web em todo o mundo, essa pode vir a ser uma das vulnerabilidades mais significativas de 2026”, afirma o especialista.
Falha conhecida
A origem de uma das vulnerabilidades remonta a 2024, quando uma auditoria externa de segurança identificou problemas no gerenciamento de memória do PHP.
Durante a investigação, um desenvolvedor encontrou sinais de uma condição capaz de corromper informações internas do programa.
A equipe discutiu diferentes soluções, mas não conseguiu estabelecer um procedimento que resolvesse o problema sem provocar incompatibilidades ou novas falhas.
Somente em 2026 pesquisadores demonstraram formas concretas de transformar aquele comportamento em execução remota de comandos.
A PHP Foundation reconheceu dificuldades na condução do caso. O processo de decisão entre os responsáveis pelo projeto e os possíveis efeitos das correções sobre aplicações existentes contribuíram para prolongar a investigação.
Luiz Pinheiro, professor do mestrado e doutorado da Universidade Positivo e responsável pelo Laboratório de Negócios e Inteligência Artificial (AiLaBS), chama atenção para a natureza da vulnerabilidade.
“O problema é que agora a gente não está falando de sistema, a gente está falando de linguagem de programação, que seria a base do desenvolvimento de um sistema”, explica.
Isso significa que a origem do problema não está necessariamente na maneira como uma empresa desenvolveu seu site. Determinadas aplicações podem ficar expostas por utilizarem uma versão vulnerável da própria linguagem.
Invasões brasileiras
O histórico do PHP mostra que criminosos já utilizaram falhas anteriores para atacar sistemas brasileiros.
Em junho de 2024, a Imperva identificou milhares de tentativas de exploração de outra vulnerabilidade da linguagem, identificada como CVE-2024-4577.
Entre os alvos estavam sites de instituições financeiras, empresas e serviços de saúde localizados nos Estados Unidos e no Brasil.
Os invasores utilizavam ferramentas automatizadas para enviar solicitações maliciosas aos servidores.
O objetivo era explorar uma falha no processamento de comandos em determinadas instalações do PHP no Windows.
O problema recebeu classificação crítica e permitia executar códigos remotamente nos ambientes afetados.
Na ocasião, a empresa de segurança identificou tentativas de exploração em grande escala, mas não divulgou uma relação de instituições brasileiras efetivamente invadidas.
Sequestro de dados
Poucos dias após a divulgação da falha de 2024, pesquisadores da Imperva identificaram uma campanha destinada a instalar o ransomware TellYouThePass.
Esse tipo de programa pode criptografar arquivos armazenados nos equipamentos comprometidos e exigir pagamento para que a vítima recupere o acesso às informações.
A campanha foi observada a partir de 8 de junho daquele ano. Os criminosos também tentavam instalar web shells, programas que permitem enviar comandos remotamente a um servidor depois de obtido o acesso indevido.
A Broadcom confirmou posteriormente a utilização da vulnerabilidade pelo grupo associado ao TellYouThePass.
O caso demonstrou que criminosos não precisavam desenvolver uma invasão completamente nova. Bastava adaptar ferramentas já existentes à falha recém-divulgada.
A utilização de uma vulnerabilidade conhecida também reduz o tempo disponível para empresas que precisam testar atualizações antes de aplicá-las em sistemas essenciais.
Espionagem digital
A mesma falha de 2024 foi utilizada em uma campanha identificada pela Cisco Talos contra organizações no Japão.
A investigação, divulgada em março de 2025, encontrou atividades maliciosas iniciadas pelo menos em janeiro daquele ano, principalmente contra empresas de telecomunicações e comunicação.
Os responsáveis utilizaram a vulnerabilidade para conseguir acesso inicial aos sistemas.
Em seguida, recorreram a ferramentas associadas ao Cobalt Strike e ao conjunto de programas TaoWu para ampliar o controle sobre os equipamentos.
A Cisco identificou tentativas de obtenção de credenciais, movimentação entre sistemas da mesma rede e manutenção do acesso indevido.
Os pesquisadores também localizaram uma estrutura preparada para instalar diferentes ferramentas nos equipamentos comprometidos.
A investigação não identificou publicamente os responsáveis pela campanha. Os recursos utilizados são conhecidos no setor de segurança digital e podem ser empregados por diferentes grupos.
IA investigadora
A descoberta das vulnerabilidades de 2026 envolveu pesquisadores da Calif, OpenAI e Wiz, além de profissionais ligados à PHP Foundation.
As equipes utilizaram ferramentas de inteligência artificial para examinar o código da linguagem, encontrar comportamentos inesperados e testar possibilidades de exploração.
O Google informou que a Wiz empregou diferentes modelos, incluindo o Gemini 4 Argon, durante a identificação das falhas e a validação das correções.
A participação dessas ferramentas ampliou a capacidade de analisar situações que haviam passado despercebidas em revisões anteriores.
“Da mesma forma que é preocupante, a inteligência artificial se mostra poderosa a encontrar falhas em linguagens de programação”, avalia Pinheiro.
O professor considera que os desenvolvedores precisam incorporar processos mais abrangentes de verificação de segurança, especialmente em tecnologias utilizadas por milhares de empresas.
“Se você é dono de uma linguagem de programação, faça o máximo possível de simulações, testes, varreduras de falhas, porque com capacidade humana a gente não conseguiria fazer isso em uma pessoa, uma squad, uma tribo ou um conjunto de desenvolvedores”, recomenda.
A utilização da IA não elimina o trabalho humano. Relatórios automatizados podem apresentar erros, indicar problemas inexistentes ou produzir resultados que não podem ser reproduzidos.
Cabe aos pesquisadores confirmar a vulnerabilidade, avaliar sua gravidade e desenvolver uma correção que não comprometa outros componentes da linguagem.
Controle dos servidores
A principal consequência das falhas atuais é a possibilidade de execução remota de código, conhecida pela sigla RCE.
Em determinadas condições, um invasor consegue enviar solicitações especialmente preparadas para que o servidor execute instruções sem autorização. O impacto depende das permissões disponíveis no ambiente comprometido.
“Se explorada com sucesso, essa vulnerabilidade pode permitir a execução remota de código, uma das formas mais graves de comprometimento cibernético”, alerta Sergey Lozhkin.
O especialista da Kaspersky também menciona a instalação de programas destinados a manter o acesso aos sistemas invadidos.
“Invasores poderiam executar códigos maliciosos nos sistemas afetados, incluindo a instalação de web shells, obtendo assim o controle sobre os servidores vulneráveis”, acrescenta.
Em ambientes empresariais, esse acesso pode permitir a leitura de arquivos, a alteração de aplicações e tentativas de alcançar bancos de dados ou outros equipamentos da rede.
Serviços interrompidos
A divulgação das novas falhas levou organizações a suspender temporariamente serviços enquanto verificavam a segurança de suas instalações.
A Reuters documentou interrupções preventivas em serviços digitais de governos e empresas após a publicação dos alertas.
A Sophos, empresa de segurança digital, informou que retirou do ar em 21 de outubro um portal antigo utilizado para licenciamento de produtos. A medida foi adotada porque o serviço executava uma versão vulnerável do PHP.
Em determinadas operações, a suspensão significa impedir temporariamente o acesso dos usuários a serviços necessários para atividades administrativas e comerciais.
Os prejuízos financeiros dependem da duração da interrupção, da quantidade de usuários afetados e da importância da aplicação para cada organização.
Correção necessária
O projeto PHP disponibilizou em 21 de outubro as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que corrigem as duas vulnerabilidades.
As atualizações precisam ser instaladas pelos responsáveis pelos servidores ou disponibilizadas pelos fornecedores de hospedagem e de sistemas.
Versões antigas, como PHP 8.1 e anteriores, já não recebem manutenção diretamente do projeto, embora alguns fornecedores de distribuições possam oferecer correções específicas.
A PHP Foundation informou que diferentes configurações estão expostas, incluindo servidores que utilizam Apache com mod_php, PHP-FPM e outras formas de execução da linguagem.
O risco é particularmente elevado em determinadas instalações do Apache, nas quais pesquisadores demonstraram ataques capazes de alcançar o PHP antes mesmo da execução do código da aplicação.
Para Lozhkin, a velocidade da resposta interfere diretamente no período de exposição.
“Se a sua infraestrutura depende do PHP, a correção deve ser aplicada assim que estiver disponível”, orienta.
Empresas que não conseguem atualizar imediatamente seus sistemas podem precisar restringir o acesso externo enquanto avaliam as medidas de proteção.
Entretanto, os desenvolvedores alertam que bloqueios de tráfego e outras soluções temporárias não substituem a instalação das versões corrigidas.
Limites da prevenção
A inteligência artificial também modifica a maneira como pesquisadores e criminosos analisam programas.
Com ferramentas capazes de examinar grandes quantidades de código, problemas antigos podem ser encontrados em intervalos menores.
Entretanto, a confirmação das falhas e a distribuição das correções continuam dependendo de equipes técnicas e da capacidade operacional das empresas afetadas.
Pinheiro considera que descobertas semelhantes poderão ocorrer em outras linguagens utilizadas no desenvolvimento de sistemas.
“Todas as linguagens agora estão sujeitas a aparecerem falhas. Por exemplo, na linguagem R, outras plataformas de programação como o Python”, observa.
O professor ressalta que a capacidade de executar testes continuamente permite identificar situações que dificilmente seriam examinadas manualmente na mesma escala.
“Como a inteligência artificial trabalha 24 horas por sete dias da semana, ela vai encontrar falhas em muitas coisas”, afirma.
A PHP Foundation informou que passou a utilizar ferramentas automatizadas na triagem de vulnerabilidades e na identificação de problemas duplicados.
“Acredito que isso é só o início de grandes descobertas de falhas que a inteligência artificial poderá nos mostrar que estavam escondidas em linguagens e sistemas de computação”, projeta Pinheiro.
Após a divulgação das falhas de outubro, o Centro Canadense de Segurança Cibernética e o NHS England publicaram alertas direcionados aos responsáveis por infraestrutura digital.
Veja mais no Instagram de O Brasilianista!
