Em 21 de outubro de 2026, governos de vários países tiraram sites do ar, segundo a Gazeta do Povo, e equipes de TI no mundo inteiro aplicaram correções de emergência no PHP. No Brasil, a Anatel suspendeu o acesso externo ao seu Sistema Eletrônico de Informações, e o CTIR Gov, centro de resposta a incidentes do governo, publicou alerta pedindo a atualização. A falha de segurança no PHP apelidada de PHP2Shell levou a NSA, ao lado do FBI e da CISA, a recomendar que as organizações atualizassem o PHP imediatamente ou desligassem os sistemas até conseguir fazer isso. Para quem responde pela tecnologia de uma empresa, a dúvida é direta. Isso afeta a minha empresa? A resposta depende da versão do PHP que roda nos seus sistemas e de quanto eles são acompanhados no dia a dia.
O que é o PHP2Shell?
O PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP, registradas como CVE-2026-109618 e CVE-2026-109619, ambas com nota 9,2 na escala CVSS, segundo a watchTowr. De acordo com a Wiz Research, elas afetam as versões 5.4 a 8.5, em uma tecnologia que roda cerca de 70% dos sites com linguagem de servidor identificável, segundo a W3Techs.
As falhas permitem execução remota de código, o que significa que um invasor consegue rodar comandos no servidor da empresa pela internet sem ter acesso legítimo a ele e, em alguns cenários, sem nem precisar de login. A Wiz demonstrou o ataque em instalações de WordPress, Drupal e Joomla, porque o problema está no próprio PHP e não nessas plataformas.
As vulnerabilidades foram identificadas por pesquisadores de empresas como a Wiz e a Calif, com apoio de modelos de inteligência artificial, e tornadas públicas junto com as correções em 21 de outubro de 2026. No mesmo dia, a watchTowr registrou tentativas de exploração em sua rede de monitoramento, e a Cloudflare ativou proteções automáticas no seu firewall.
Quais são as consequências do PHP2Shell para a empresa?
Quem explora o PHP2Shell pode assumir o controle do servidor e, a partir dele, alcançar tudo o que a aplicação acessa. Os principais riscos para o negócio envolvem:
- Controle do servidor por terceiros, que passam a executar comandos no ambiente da empresa.
- Roubo de dados sensíveis, como senhas, chaves de acesso e informações de clientes.
- Acesso a bancos de dados e arquivos do sistema.
- Alteração ou desfiguração de sites e portais.
- Impacto na reputação, interrupção da operação e exposição a sanções da LGPD em caso de vazamento de dados pessoais.
Nem todo site em PHP está necessariamente vulnerável, já que versão, configuração e forma de instalação influenciam o risco. Ainda assim, é comum que empresas grandes tenham algum sistema antigo em PHP sem acompanhamento e é nesses casos que o risco costuma estar.
Como corrigir a falha de segurança no PHP?
A correção definitiva é atualizar o PHP para uma versão com patch, seguindo esta ordem:
- Mapeie onde a empresa usa PHP. Site institucional, CMS, sistemas internos, portais de clientes e APIs entram no inventário, começando pelo que está exposto à internet.
- Verifique a versão do PHP em cada ambiente. Um mesmo sistema pode rodar versões diferentes em produção, homologação e servidores esquecidos.
- Atualize para as versões corrigidas. Segundo o comunicado oficial do PHP, as versões com correção são 8.5.12, 8.4.27, 8.3.36 e 8.2.35, e os processos do PHP precisam ser reiniciados depois da atualização.
- Dê atenção especial às versões antigas. As correções oficiais saíram apenas para versões com suporte. As versões 8.1, 8.0 e 7.4 dependem de pacotes de distribuições, de fornecedores de suporte estendido ou dos ajustes mínimos publicados pelo próprio PHP, e da 7.3 para trás não há correção, o que exige um plano de migração.
- Use medidas temporárias enquanto a atualização não acontece. Regras de firewall de aplicação (WAF), como as que a Cloudflare e a AWS disponibilizaram, e a restrição do acesso pela internet ajudam a reduzir a exposição.
- Procure sinais de comprometimento. Revise logs e o comportamento dos servidores e acione o fornecedor ou a hospedagem se algo parecer fora do normal.
Medidas temporárias ganham tempo, mas não substituem a atualização. A própria Cloudflare orienta seus clientes a atualizar o PHP mesmo com o WAF ativo, e atualizar plugins ou o código do site não resolve, porque a falha está na linguagem.
O que o PHP2Shell ensina sobre sistemas legados?
O PHP2Shell mostra que funcionar não é o mesmo que estar seguro. Muitos sistemas rodam bem por anos e, por isso mesmo, ninguém mexe neles. A versão do PHP vai ficando para trás, quem desenvolveu o projeto já não acompanha o ambiente, e o risco só aparece quando surge uma falha grave e a empresa descobre que a sua versão não vai receber correção.
Esse cenário tende a ficar mais frequente. Com a inteligência artificial acelerando a descoberta de vulnerabilidades em código antigo, como aconteceu neste caso, empresas que dependem de software sem acompanhamento terão cada vez menos margem para reagir.
Há mais de 20 anos desenvolvemos e mantemos software para empresas com operações críticas, e a nossa experiência mostra que a resposta passa por três frentes.
Software sob medida pensado para evoluir. Um sistema desenvolvido a partir das regras e da rotina da sua operação nasce com arquitetura clara, código documentado e tecnologias atuais. Com essa base, cada atualização, inclusive as de segurança, passa a fazer parte da evolução natural do software, sem exigir grandes intervenções quando surge uma falha como o PHP2Shell.
Modernização de sistemas legados. Se o sistema está em uma versão sem suporte, atualizar deixa de ser uma tarefa simples e passa a exigir uma migração planejada, que preserve as regras de negócio e reduza o risco de interromper a operação.
Sustentação contínua com squads especializadas. A empresa conta com especialistas da Supero alocados na própria operação, profissionais que já dominam essas tecnologias e se integram ao time interno desde o primeiro dia. Com esse time por perto, as versões são monitoradas, as correções entram na rotina e situações como o PHP2Shell são tratadas com rapidez.
Sua empresa está pronta para a próxima falha?
Novas vulnerabilidades vão continuar surgindo, e a diferença está na rapidez com que cada empresa consegue responder. Saber onde estão os sistemas, em que versão rodam e quem cuida deles transforma uma emergência global em uma tarefa de rotina.
Se a sua empresa tem sistemas em PHP ou aplicações antigas sem acompanhamento contínuo, converse com a Supero. Avaliamos o seu cenário atual e ajudamos a estruturar a sustentação ou a modernização dos seus sistemas legados.
