Na quarta-feira, uma tecnologia web de código aberto com décadas de existência chamada PHP quase quebrou a internet, graças a duas vulnerabilidades que ficaram adormecidas por anos até que pesquisadores recentemente descobriram uma maneira de explorá-las. Os bugs foram apelidados de PHP2Shell, oficialmente designados como CVE-2026-109618 e CVE-2026-109619. Em termos simples, os bugs permitem que qualquer pessoa que saiba como explorá-los invada um sistema online executando PHP, como um site ou servidor voltado para a internet, sem precisar de senha para acessar ou modificar seus dados. Como situações vão, essa foi bem grandinha, forçando milhões de pessoas ao redor do mundo a correr para corrigir seus sistemas antes que hackers maliciosos pudessem abusar deles.

A PHP Foundation, que mantém o software web PHP, lançou publicamente patches na quarta-feira que corrigem os bugs, os quais, quando instalados, impedem que servidores voltados para a web sejam atacados. A fundação já havia dado a algumas das maiores empresas de internet e provedores de hospedagem que dependem do PHP uma vantagem inicial para a correção. Graças a semanas de conversas nos bastidores e coordenação cuidadosa em toda a indústria, o mundo — até agora — evitou amplamente a exploração massiva da internet. A partir de quarta-feira, governos começaram a instar cidadãos e empresas com sites a tomar medidas para mitigar os riscos em suas pontas. Uma ampla gama de indústrias fechou seus sites e tirou serviços do ar para corrigir seus sistemas. Bancos, varejistas, sites de jogos, lojas online, hospitais e algumas agências governamentais derrubaram seus servidores para evitar ataques. Mas pesquisadores de segurança alertam que a situação ainda não acabou, e que um grande número de sistemas ao redor do mundo permanece sem correção e vulnerável a hacks e roubo de dados. É também improvável que este seja o último grande susto com software de internet, com alguns esperando o advento da IA para descobrir rapidamente vulnerabilidades ainda não descobertas que estão esperando para serem encontradas e abusadas.

Pesquisadores de segurança da Calif encontraram dois bugs no PHP, uma linguagem de programação amplamente usada ao redor do mundo para construir sites e aplicativos web, tanto na internet quanto hospedados localmente em redes corporativas, como intranets e sites internos. O PHP é de código aberto, o que significa que é gratuito e disponível para ser usado por qualquer pessoa por quase qualquer motivo. Como tal, tornou-se uma das linguagens de programação web mais populares e amplamente usadas na web hoje. Os dois bugs foram descobertos pela primeira vez em 2024, mas não foram considerados exploráveis na época e não foram corrigidos. Pesquisadores de segurança recentemente encontraram uma maneira de explorá-los, levando-os a alertar os criadores do software para corrigi-los. A Calif alertou a PHP Foundation, que iniciou um período de correção dos bugs e divulgação coordenada. A fundação fez isso oferecendo as informações e patches sobre os problemas de segurança sob um embargo rigidamente guardado — essencialmente mantido em sigilo até um prazo específico — para dar às grandes empresas uma oportunidade de se antecipar à instalação das correções.

O PHP2Shell é bastante sério porque pode ser abusado remotamente pela internet e sem que a vítima precise clicar em um link ou abrir um arquivo. Isso é conhecido como execução remota de código, e é um dos tipos mais prejudiciais de bugs para explorar, porque podem conceder a um hacker em qualquer lugar do mundo efetivamente controle total sobre um sistema afetado e sem correção. Pior, esses bugs específicos do PHP tornam possível invadir qualquer sistema sem correção na internet sem precisar de senha ou qualquer outra credencial pela internet, conhecido como acesso não autenticado. Isso permitiria a um hacker malicioso então plantar malware no computador, como para roubar dados ou simplesmente para manter um ponto de apoio de longo prazo ao qual possam retornar mais tarde.

Os bugs são particularmente arriscados porque o PHP é um software extremamente popular, em parte porque é gratuito e relativamente fácil de usar, mas também porque existe há décadas. Cerca de 70% da internet voltada para a web depende do PHP, embora seu uso venha diminuindo lentamente ao longo dos anos em favor de tecnologias mais novas.