Brecha no PHP gera milhões de ataques cibernéticos em poucas horas

A rápida propagação de uma falha crítica na linguagem PHP fez com que as tentativas de exploração cibernética saltassem de milhares, registradas nas dez horas anteriores ao alerta, para milhões em poucas horas ao redor do planeta. A informação foi revelada na noite da última quarta-feira (21), por meio da rede social X (antigo Twitter), por Matthew Prince, CEO da Cloudflare, evidenciando a gravidade global da ameaça.

Para conter a onda de incidentes, a Cloudflare adotou defesas emergenciais em seu Web Application Firewall (WAF) aproximadamente nove horas antes de a falha vir a público oficialmente. Como as regras convencionais fundamentadas em requisições mostraram-se insuficientes, a organização acionou um mecanismo batizado de “detecção de transação completa”.

“Some stats on #php2shell. In the 10 hours before it was publicly announced, across the @Cloudflare network we saw thousands of attempts to exploit it. That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.”, escreveu Matthew Prince, CEO da Cloudflare, na plataforma.

Essa tecnologia examina de maneira simultânea a requisição HTTP e a resposta enviada pelo servidor de origem. Com isso, torna-se possível validar se um exploit — código ou comando que explora uma vulnerabilidade — obteve sucesso ou falhou, bloqueando a ameaça antes que ela atinja o alvo. A ferramenta diminui a incidência de falsos positivos e já foi disponibilizada para toda a base de clientes da empresa.

Limitações dos firewalls e a necessidade de patches

Apesar da implementação dessas barreiras de contenção, executivos e especialistas da companhia enfatizam que os firewalls funcionam apenas como uma medida paliativa de segurança. A orientação principal é que provedores de hospedagem e administradores de servidores instalem imediatamente os patches disponibilizados pelo comitê gestor do PHP.

Os riscos da falha php2shell

Identificadas sob os códigos CVE-2026-109618 e CVE-2026-109619, as vulnerabilidades no PHP apresentam um nível gravíssimo de perigo devido à sua localização no ambiente de execução (runtime) da linguagem. O PHP é a base de quase 70% da internet, dando suporte a milhões de plataformas digitais e sites.

O problema de segurança surge no gerenciamento de memória do software quando uma requisição HTTP sofre interrupções inesperadas, seja por escassez de recursos ou falhas. Em vez de descartar os dados com segurança, o PHP tenta reaproveitar informações incompletas ou acessar referências de memória já liberadas.

Esse comportamento abre brechas para ações maliciosas, como tentativas de Execução Remota de Código (RCE) sem exigência de credenciais ou autenticação. Os invasores enviam pacotes manipulados para induzir falhas de memória, conseguindo extrair dados confidenciais dos servidores — a exemplo de chaves de API, senhas e tokens —, além de derrubar estruturas inteiras ou sequestrar o controle das máquinas. Por estar enraizada na própria linguagem, a única solução definitiva é a atualização do PHP.