A internet está segura de novo após o pesadelo do PHP? O que você precisa saber

Um dia depois de dois bugs no PHP fazerem governos correrem para tirar seus sites do ar, a correção foi lançada, os atacantes estão martelando e muitas pessoas estão perguntando a mesma coisa: Posso usar a internet sem me preocupar, ou devo me esconder debaixo da cama até a próxima semana?

A resposta curta é que a internet não quebrou, e para a maioria das pessoas o risco está nos sites que elas visitam, não em seus próprios celulares ou laptops. A resposta longa tem algumas ressalvas que vale a pena conhecer.

Recapitulando rapidamente: PHP é o software que roda nos bastidores de cerca de 70% dos sites cuja linguagem do lado do servidor é conhecida, e as duas falhas, apelidadas de PHP2Shell, permitem que um estranho assuma o controle de um servidor vulnerável sem fazer login.

Foi corrigido?

Então, a exploração foi corrigida? Sim, em grande parte. O PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 na quarta-feira, de acordo com suas notas de lançamento. "Não há mitigações completas, atualizar é a única escolha segura." Até quinta-feira, o PHP não havia emitido nenhum patch de acompanhamento.

Uma correção só ajuda depois que alguém a instala, porém. O PHP não se atualiza sozinho, então cada empresa de hospedagem, departamento de TI e proprietário individual de site precisa aplicá-la em seus próprios servidores, e então reiniciar o software para que ela entre em vigor.

Em outras palavras, a correção existe, mas isso não significa que os sites que você visita estejam necessariamente seguros.

O PHP 8.1 e anteriores não recebem mais lançamentos oficiais, o que torna os servidores mais antigos o ponto fraco, embora a equipe de segurança do PHP tenha publicado patches básicos para 7.4, 8.0 e 8.1 para quem compila o software por conta própria.

Alguém realmente foi hackeado?

Os atacantes certamente tentaram: o CEO da Cloudflare, Matthew Prince, disse que sua rede registrou milhares de tentativas de exploração nas 10 horas anteriores ao anúncio, dezenas de milhares nos 45 minutos seguintes a ele, centenas de milhares em duas horas e milhões desde então.

A Amazon foi além, afirmando que seus servidores de isca registraram uma tentativa em 17 de outubro, quatro dias antes de os bugs se tornarem públicos. "Ainda não está claro como o ator obteve informações de exploração antes da divulgação", escreveu o CISO da Amazon, CJ Moses, acrescentando que o PHP2Shell está "agora sendo amplamente explorado em ambiente real."

Governos, no entanto, parecem ainda não ter sofrido nenhum tipo de invasão bem-sucedida. Thomas Caspers, vice-presidente da agência federal de cibersegurança da Alemanha, a BSI, disse que a agência havia observado ataques, mas nenhum uso bem-sucedido das falhas, acrescentando: "Parece um pouco mais complicado do que o esperado explorá-las." O Secretário-Chefe do Gabinete do Japão, Minoru Kihara, também disse que nenhum ataque explorando as falhas havia sido confirmado.

Uma tentativa é alguém sacudindo a maçaneta da porta; uma invasão é alguém entrando, então ambas as afirmações podem ser verdadeiras ao mesmo tempo. Milhões de maçanetas sacudidas e zero invasões confirmadas é uma boa notícia, mas as invasões tendem a ser descobertas depois, não em tempo real.

Por que isso não foi detectado antes?

De certa forma, foi. Em uma postagem no blog publicada na quarta-feira, a PHP Foundation disse que seu trabalho de segurança em 2024 "encontrou os primeiros sinais do problema de OOM por trás da CVE-2026-109618", ou seja, o bug de falta de memória no cerne de uma das duas falhas.

A equipe elaborou "várias abordagens concorrentes" para corrigi-lo, mas "teve dificuldade em escolher entre elas e temeu as repercussões de lançar a escolha errada", segundo a fundação. "Sem o financiamento da Foundation, teria sido impossível ter várias pessoas trabalhando nesse problema em tempo integral", acrescentou.

"Não vamos fingir o contrário: o atraso foi uma falha estrutural, causada tanto pelo processo de decisão da equipe de segurança quanto pela sua falta de recursos", escreveu a fundação, acrescentando que sua equipe de segurança, que antes precisava de consenso, agora decidirá por maioria. Para o software que roda a maior parte da web, esse trabalho de segurança "ainda depende de um pequeno grupo de desenvolvedores financiados pela fundação e de uma pequena ajuda voluntária", segundo a publicação.

Por que alguns sites ainda estão fora do ar?

Porque aplicar o patch leva tempo, e "offline" foi a recomendação oficial para quem não conseguia aplicar o patch imediatamente. O National Cyber Security Centre do Reino Unido disse às organizações para considerar "colocar o sistema offline até que possa ser totalmente mitigado".

A lista de sites que ficaram fora do ar na quarta-feira cresceu rápido. De acordo com o TechRadar, ela incluía serviços da Wikimedia, sites e aplicativos da Orange em dezenas de países, 32 serviços do governo do Reino Unido, hospitais holandeses e o provedor federal de TI da Alemanha, o ITZBund.

O Office for Budget Responsibility do Reino Unido e o site do conselho de Edimburgo já estavam de volta na quinta-feira. Outros, como o site holandês de denúncias anônimas de crimes Meld Misdaad Anoniem, ainda estavam offline na manhã de quinta-feira, segundo o DutchNews.

Devo mudar minhas senhas?

Não por causa disso, pelo menos não ainda. Nenhuma violação de dados confirmada foi ligada ao PHP2Shell até agora, e mudar todas as senhas hoje não ajudará se o servidor de um site ainda não tiver recebido o patch.

O que ajuda é o básico: senhas únicas para cada conta, autenticação de dois fatores ativada e ficar atento se uma empresa enviar um e-mail sobre uma violação nas próximas semanas. Se isso acontecer, mude essa senha e qualquer conta em que você a tenha reutilizado.

Os donos de sites têm mais tarefas de casa, porque aplicar o patch fecha a porta, mas não diz se alguém entrou antes. A empresa de segurança Tag1 recomenda procurar por arquivos PHP que você não enviou, novas tarefas agendadas e novas contas, além de trocar senhas de banco de dados e chaves de API em qualquer servidor exposto à internet que tenha executado uma versão vulnerável.

E quanto às criptomoedas?

O fundador da Binance, Changpeng Zhao, deu um breve conselho no X: "Podem me chamar de paranoico, mas tenham cuidado extra ao visitar QUALQUER site nos próximos dias."

Um servidor web invadido pode mostrar a você uma versão falsa de um site real, e no mundo cripto isso geralmente significa uma página que pede para você conectar sua carteira e aprovar uma transação que a esvazia. Uma rede blockchain em si pode estar bem; os sites que estão na frente dela podem não estar.

Nos próximos dias, verifique três vezes o que você está assinando, salve nos favoritos os sites que você usa em vez de clicar em links, e use uma carteira de hardware se você tiver uma. Até agora, nenhuma exchange de criptomoedas relatou publicamente uma violação ligada ao PHP2Shell.

Então, é seguro?

Navegar na web hoje é tão seguro quanto era na semana passada, o que quer dizer que não é perfeitamente seguro. A exposição real está nos servidores que não foram corrigidos, e a empresa de segurança Mallory contou aproximadamente 884.000 hosts expostos à internet rodando versões do PHP que não recebem correção oficial.

O conselho da Amazon aos defensores é basicamente que isso não acabou. "Os defensores não devem presumir que a data de divulgação pública seja a data mais antiga de exploração." Qualquer servidor que rodou uma versão vulnerável desde pelo menos 17 de outubro deve ser verificado, não apenas corrigido.