O que são as falhas php2shell e por que elas assustam

A vulnerabilidade PHP php2shell é o nome coletivo para dois erros críticos descobertos nas linguagens de programação que rodam a maioria dos sites do planeta. Identificados como CVE-2026-109618 e CVE-2026-109619, os problemas existem em todas as versões do PHP desde o PHP 5, lançado em 2004. Isso significa que qualquer servidor que nunca recebeu as atualizações mais recentes carrega esses buracos há mais de 22 anos.

O PHP está presente em aproximadamente 70% dos sites da internet, segundo a W3Techs, o que equivale a mais de 33 milhões de domínios. O WordPress, sistema usado em mais de 40% dos sites do mundo, roda sobre PHP e também é afetado indiretamente. A falha permite RCE (execução remota de código): um atacante pode acessar o sistema de arquivos do servidor ou o banco de dados da aplicação sem credenciais.

A NSA dos Estados Unidos emitiu alerta oficial. A PHP Foundation publicou correções e recomenda atualizar para o PHP 8.5.12.

Como a IA encontrou o que humanos não acharam em 20 anos

A descoberta dessas falhas não veio de auditoria humana tradicional. Duas equipes, trabalhando de forma independente, usaram modelos de IA para varrer o código do PHP em busca de padrões de vulnerabilidade.

A empresa de segurança Calif, contratada pelo programa Patch the Planet da OpenAI, usou o GPT-5.6 Sol para encontrar a primeira falha. Calif reportou a vulnerabilidade em 11 de agosto de 2026. Semanas depois, em 24 de agosto, a Wiz, empresa de segurança em nuvem pertencente ao Google, reportou a segunda, usando uma combinação do agente Wiz Atlas com o Gemini 4 Argon e o GPT-5.6 Sol.

A Wiz disse que "With AI this is no longer a barrier", referindo-se ao fato de que a IA reduziu a barreira técnica para encontrar e adaptar exploits a diferentes versões e configurações do PHP.

Por que isso importa para o seu negócio

Se o seu site, loja virtual ou sistema interno roda em PHP, o risco é direto. A vulnerabilidade PHP php2shell pode dar ao atacante acesso aos dados dos seus clientes, senhas armazenadas, documentos financeiros e configurações de servidor.

Há 3 grupos em situação de risco imediato: sites em WordPress sem hospedagem atualizada; sistemas legados em PHP 8.1 ou versões anteriores, que não recebem mais atualizações de segurança oficiais desde 2024; e empresas com servidor próprio ou VPS sem rotina de atualizações.

O caminho é um só: atualizar o servidor para PHP 8.5.12. Se isso não for possível imediatamente, a NSA recomenda tirar o site do ar até que a atualização seja feita.

A velocidade com que a IA identificou essas falhas também muda o contexto dos ataques: agora, criminosos têm acesso às mesmas ferramentas para adaptar exploits. Para quem ainda não tinha urgência em atualizar dependências antigas, esse caso é o sinal mais claro de que o prazo acabou. Veja como o aumento dos riscos de segurança em IA impacta empresas de todos os tamanhos e também como está a segurança em IA no contexto de chaves roubadas e deepfakes.

Mais informações sobre a vulnerabilidade estão disponíveis no TechCrunch.

Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.

Fonte: TechCrunch