PHP2Shell: falha achada com IA em código usado por 7 de cada 10 sites tira páginas de governos do ar

Governos da Europa e da Ásia tiraram sites do ar na quinta-feira (22) para corrigir duas falhas graves na linguagem PHP, descobertas com apoio de inteligência artificial e batizadas de PHP2Shell, segundo a Wiz, empresa de segurança controlada pela Alphabet, e a agência Reuters. A Folha informou que uma empresa de segurança relatou milhões de tentativas de invasão depois da divulgação.

O PHP é usado em cerca de 70% dos sites do mundo, de acordo com a Wiz. Por isso o alcance do problema vai além de órgãos públicos: lojas virtuais, blogs e sistemas de empresas rodam sobre a mesma base.

O que as falhas permitem

As vulnerabilidades estão reunidas em dois registros, CVE-2026-109618 e CVE-2026-109619, que somam quatro bugs de segurança de memória no núcleo do PHP. A pontuação chega a 9,2 na escala CVSS, que vai até 10. Todas as versões lançadas na última década têm ao menos uma das falhas, incluindo as desde a 5.4, afirma a Wiz.

A empresa diz ter confirmado que o defeito permite execução remota de código, sem login, em instalações de Drupal e de WordPress. Na prática, um invasor pode mandar comandos a um servidor vulnerável. A Wiz classificou as falhas como "entre as mais graves já descobertas no PHP e, possivelmente, na história do software", em tradução livre do texto citado pela Al Jazeera.

Da descoberta ao patch em dois meses

A primeira falha foi reportada em 11 de agosto pela Calif, em parceria com a OpenAI, segundo a Al Jazeera. A Wiz relata que a sua pesquisa começou em 19 de agosto e que o relatório foi enviado à equipe de segurança do PHP em 24 de agosto. O projeto confirmou os achados em 21 de setembro e lançou as versões corrigidas em 21 de outubro, quando a divulgação se tornou pública.

Os pesquisadores da Wiz afirmam ter usado o agente de IA da própria empresa, o Wiz Atlas, além dos modelos Gemini 4 Argon e GPT-5.6 Sol. A PHP Foundation comentou o episódio em comunicado: "Tools now find bugs faster than ever, for defenders and attackers alike, and the number of reports will keep growing" (as ferramentas encontram falhas mais rápido do que nunca, para defensores e atacantes, e o número de relatórios vai continuar crescendo).

Governos desligam sites para atualizar

A NSA, agência de segurança dos Estados Unidos, emitiu um alerta incomum e recomendou tirar do ar os sistemas que não puderem ser atualizados de imediato. O Ministério para Transformação Digital da Alemanha desativou alguns sites por precaução, e o Ministério do Interior da França fez o mesmo com páginas de escritórios administrativos locais. Bélgica, Países Baixos, Finlândia e República Tcheca também desligaram endereços para aplicar a correção. No Japão, a primeira-ministra Sanae Takaichi publicou um aviso nas redes sociais.

Segundo a Folha, uma empresa de segurança relatou milhões de tentativas de invasão após a divulgação. A Wiz recomenda aplicar o patch imediatamente, por ser a única correção completa. Quem não consegue atualizar na hora pode usar regras de firewall de aplicação publicadas por fornecedores como Cloudflare, Fastly e Vercel, e vigiar sinais como respostas HTTP 500 repetidas e cookies PHPSESSID malformados.

O que muda para quem mantém um site

Empresas brasileiras com lojas, portais ou sistemas internos em PHP precisam descobrir qual versão está em produção e atualizá-la com a equipe de TI ou com a hospedagem. O prazo é curto, porque a divulgação pública dá aos atacantes o mapa das falhas e já houve tentativas de exploração.

O caso também mostra o ritmo que a IA impõe à segurança. Falhas que ficaram anos sem ser notadas foram achadas em semanas, e a PHP Foundation espera que o volume de relatórios só aumente. Para quem administra sistemas, isso encurta o intervalo entre a descoberta de um defeito e a necessidade de corrigi-lo.