Atualizado em 23/10/2026.
Pesquisadores identificaram duas vulnerabilidades críticas no PHP, PHP, que permitiam executar comandos remotamente em servidores de sites. A prova de conceito e a demonstração do risco foram auxiliadas por inteligência artificial. Dezenas de empresas e serviços governamentais em todo o mundo tiraram seus sites do ar enquanto correções eram aplicadas, e a Cloudflare já registrou milhões de tentativas de exploração — e isso provavelmente não é o fim.
Em vários países dezenas de sites foram desligados; a Cloudflare registrou milhões de tentativas de ataque
Em 21/10/2026 vários países começaram a desligar emergencialmente sites governamentais e serviços online. O motivo foram duas vulnerabilidades críticas no PHP — CVE‑2026‑109618 e CVE‑2026‑109619 — em uma linguagem de programação usada por cerca de 70% dos recursos web. As falhas identificadas, CVE-2026-109618 e CVE-2026-109619, reunidas sob o nome PHP2Shell, podiam, em certas condições, permitir que invasores executassem código malicioso remotamente em servidores.
Nos Países Baixos portais de serviços eletrônicos do governo ficaram temporariamente fora do ar; na Finlândia alguns serviços de agências estatais também foram afetados. Medidas semelhantes foram adotadas na França, Alemanha, Bélgica e outros países. A interrupção atingiu ainda sites de hospitais, instituições de ensino e empresas privadas.
Organizações limitaram o acesso aos sites para protegê‑los de invasões até a aplicação dos patches. E havia motivos para preocupação: criminosos começaram a tentar explorar as falhas mesmo antes da divulgação pública. Dez horas antes do anúncio, a Cloudflare registrou milhares de tentativas de exploração. Após a divulgação pública, a atividade maliciosa aumentou bruscamente: nos primeiros 45 minutos houve dezenas de milhares de tentativas; em duas horas, centenas de milhares. Em 22/10/2026 o número já alcançava milhões.
Proteja‑se de sites maliciosos na internet
A exploração dessas vulnerabilidades pode servir para invadir sites e disseminar malware. O Kaspersky Premium bloqueia páginas perigosas e downloads maliciosos, protegendo seus dispositivos e seus dados pessoais.
Experimente o Kaspersky Premium gratuitamenteA inteligência artificial ajudou a provar o risco da falha no PHP, detectada originalmente em 2024
Os primeiros indícios de uma das falhas foram notados pelos desenvolvedores do PHP ainda em 2024. Após uma auditoria independente, especialistas encontraram um problema de gerenciamento de memória e levantaram a hipótese de uso em ataque. Na época não foi possível demonstrar execução remota de código. O conserto foi adiado: mudanças poderiam quebrar compatibilidades do PHP com outros componentes, e a pequena equipe de desenvolvedores não tinha recursos suficientes para resolver o problema rapidamente.
A situação mudou no verão de 2026, quando a pesquisa contou com apoio de inteligência artificial. Em 11/08/2026 um pesquisador da empresa Calif, usando o modelo GPT-5.6 Sol, confirmou a possibilidade de execução remota de código no servidor sem autenticação e reportou o achado aos desenvolvedores do PHP. No mesmo dia um relatório independente com a mesma conclusão foi enviado pela OpenAI. Posteriormente, pesquisadores da Wiz apresentaram seus próprios resultados, aplicando várias ferramentas de IA, incluindo Gemini 4 Argon. As redes neurais auxiliaram na análise de código, na criação de cenários de prova de conceito e na validação de correções.
Depois que os pesquisadores demonstraram a gravidade da vulnerabilidade, corrigir o problema virou prioridade para a PHP Foundation. Em 21/10/2026 os mantenedores do PHP lançaram versões corrigidas: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As duas falhas, com severidade 9,2 em 10, foram corrigidas nessas versões.
Como proteger seus sites na era da IA
A IA tem ajudado pesquisadores a encontrar erros no código mais rapidamente, inclusive falhas que passaram anos despercebidas. No 2.º trimestre de 2026 foram identificadas mundialmente cerca de 2,7 mil vulnerabilidades críticas — 34% a mais que no ano anterior — e especialistas associam parte desse aumento ao uso de IA para analisar grandes bases de código.
Ao mesmo tempo, cibercriminosos também podem acelerar o estudo das falhas e desenvolver vetores de ataque com maior velocidade. Isso reduz o tempo disponível para organizações entre a divulgação da falha e as primeiras tentativas de exploração.
Para aumentar a segurança dos sites, proprietários e administradores de servidores devem:
- Acompanhar lançamentos e aplicar atualizações rapidamente. Após o aviso sobre uma vulnerabilidade crítica é essencial instalar o patch o quanto antes. No caso do PHP2Shell, os proprietários precisam atualizar o PHP para uma versão segura. Se não for possível atualizar imediatamente, limite temporariamente o acesso ao serviço vulnerável a partir da rede pública.
- Proteger sites contra tentativas de exploração. Use firewalls de aplicações web (WAF) que analisam requisições de entrada e bloqueiam tráfego malicioso. Por exemplo, o WAF da Kaspersky usa machine learning e regras de filtragem para identificar requisições suspeitas, inclusive tentativas de explorar falhas em código de aplicações web. Essa proteção reduz o risco de ataques enquanto administradores aplicam correções.
- Monitorar o estado dos servidores. Verifique regularmente as versões dos softwares instalados, inclusive em recursos antigos ou pouco usados. Isso ajuda a identificar sistemas que ficaram sem atualizações em tempo hábil.
Artigos relacionados:
- O que é um ataque zero‑day? Definição e explicação
- Como IA e machine learning na cibersegurança estão moldando o futuro
- O que são ameaças web?
Produtos recomendados:
