CRIPTOMOEDAS

Internet está segura novamente após falhas graves? Veja o que dizem especialistas

Um dia após duas falhas no PHP levarem governos a desligarem seus sites, a correção foi lançada, os atacantes estão…

Por
Lucas Vieira,
Repórter de Inteligência artificial
Bio e blog
24/10/2026 15:07
8 min de leitura

Um dia após duas falhas no PHP levarem governos a desligarem seus sites, a correção foi lançada, os atacantes estão à solta e muita gente se pergunta a mesma coisa: posso usar a internet sem me preocupar ou devo me esconder debaixo da cama até a semana que vem?

A resposta curta é que a internet não parou de funcionar e, para a maioria das pessoas, o risco está nos sites que visitam, não em seus próprios celulares ou laptops. A resposta mais longa tem algumas ressalvas importantes.

Resumindo: o PHP é o software que roda nos bastidores de cerca de 70% dos sites cuja linguagem de servidor é conhecida, e as duas falhas, apelidadas de PHP2Shell, permitiam que um estranho assumisse o controle de um servidor vulnerável sem fazer login.

A falha foi corrigida?

Então, a vulnerabilidade foi corrigida? Sim, em grande parte. O PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 na quarta-feira, de acordo com suas notas de lançamento. “Não existem soluções definitivas; atualizar é a única opção segura.” Até quinta-feira, o PHP não havia lançado nenhuma atualização complementar.

Uma correção só funciona depois de instalada. O PHP não se atualiza automaticamente, então cada empresa de hospedagem, departamento de TI e proprietário de site individual precisa aplicá-la em seus próprios servidores e reiniciar o software para que entre em vigor.

Em outras palavras, a correção existe, mas isso não significa que os sites que você visita estejam necessariamente seguros.

O PHP 8.1 e versões anteriores não recebem mais atualizações oficiais, o que torna os servidores mais antigos o ponto fraco, embora a equipe de segurança do PHP tenha publicado patches básicos para as versões 7.4, 8.0 e 8.1 para quem compila o software por conta própria.

Alguém realmente foi hackeado?

Os atacantes certamente tentaram: o CEO da Cloudflare, Matthew Prince, disse que sua rede registrou milhares de tentativas de exploração nas 10 horas anteriores ao anúncio, dezenas de milhares nos 45 minutos seguintes, centenas de milhares em duas horas e milhões desde então.

A Amazon foi além, afirmando que seus servidores de isca registraram uma tentativa em 17 de outubro, quatro dias antes da divulgação das falhas. “Ainda não está claro como o invasor obteve informações sobre a exploração antes da divulgação”, escreveu CJ Moses, CISO da Amazon, acrescentando que o PHP2Shell está “agora sendo amplamente explorado na prática”.

Governos, no entanto, parecem não ter experimentado nenhum tipo de invasão bem-sucedida até o momento. Thomas Caspers, vice-presidente da agência federal alemã de cibersegurança BSI, disse que a agência observou ataques, mas nenhum uso bem-sucedido das falhas, acrescentando: “Parece um pouco mais complicado de explorar do que o esperado”. O Secretário-Chefe do Gabinete do Japão, Minoru Kihara, também afirmou que nenhum ataque explorando as falhas foi confirmado.

Uma tentativa é alguém mexendo na maçaneta; uma invasão é alguém conseguindo entrar, então ambas as afirmações podem ser verdadeiras ao mesmo tempo. Milhões de maçanetas mexidas e zero invasões confirmadas são boas notícias, mas as invasões tendem a ser descobertas posteriormente, não em tempo real.

Por que isso não foi detectado antes?

Na verdade, foi. Em uma postagem de blog publicada na quarta-feira, a PHP Foundation afirmou que seu trabalho de segurança em 2024 “encontrou os primeiros sinais do problema de falta de memória (OOM) por trás da CVE-2026-109618”, referindo-se ao bug de falta de memória que está no cerne de uma das duas falhas.

A equipe propôs “diversas abordagens concorrentes” para corrigi-lo, mas “teve dificuldades para escolher entre elas e temia as repercussões de lançar a solução errada”, segundo a fundação. “Sem o financiamento da Fundação, teria sido impossível ter várias pessoas trabalhando nesse problema em tempo integral”, acrescentou.

“Não vamos fingir o contrário: o atraso foi uma falha estrutural, causada tanto pelo processo de decisão da equipe de segurança quanto pela falta de recursos”, escreveu a fundação, acrescentando que sua equipe de segurança, que antes precisava de consenso, agora decidirá por maioria. Para o software que executa a maior parte da web, esse trabalho de segurança “ainda depende de um pequeno grupo de desenvolvedores financiados por fundações e de um pouco de ajuda voluntária”, segundo a publicação.

Por que alguns sites ainda estão fora do ar?

Porque a aplicação de patches leva tempo, e “ficar offline” era a recomendação oficial para quem não conseguia aplicar os patches imediatamente. O Centro Nacional de Segurança Cibernética do Reino Unido orientou as organizações a considerarem “desconectar o sistema até que o problema possa ser totalmente mitigado”.

A lista de sites que ficaram fora do ar na quarta-feira cresceu rapidamente. De acordo com o TechRadar, incluía os serviços da Wikimedia, sites e aplicativos da Orange em dezenas de países, 32 serviços do governo britânico, hospitais holandeses e o provedor federal de TI da Alemanha, ITZBund.

O Escritório de Responsabilidade Orçamentária do Reino Unido e o site da prefeitura de Edimburgo voltaram a funcionar na quinta-feira. Outros, como o site holandês de denúncia anônima de crimes Meld Misdaad Anoniem, ainda estavam offline na manhã de quinta-feira, segundo o DutchNews.

Devo trocar minhas senhas?

Não por causa disso, pelo menos não ainda. Até o momento, nenhuma violação de dados foi confirmada e relacionada ao PHP2Shell, e trocar todas as senhas hoje não ajudará se o servidor de um site ainda não tiver sido atualizado.

O que realmente ajuda são as medidas básicas: senhas exclusivas para cada conta, autenticação de dois fatores ativada e atenção a e-mails de empresas sobre violações de segurança nas próximas semanas. Se isso acontecer, troque a senha e a de qualquer conta em que você a tenha reutilizado.

Os proprietários de sites têm mais trabalho pela frente, porque a atualização fecha a porta, mas não revela se alguém já a havia invadido antes. A empresa de segurança Tag1 recomenda verificar arquivos PHP que você não tenha enviado, novas tarefas agendadas e novas contas, além de rotacionar as senhas do banco de dados e as chaves de API em qualquer servidor exposto à internet que tenha executado uma versão vulnerável.

E quanto às criptomoedas?

O fundador da Binance, Changpeng Zhao, deu um breve conselho sobre X: “Podem me chamar de paranoico, mas tenham muito cuidado ao visitar QUALQUER site nos próximos dias.”

Um servidor web invadido pode exibir uma versão falsa de um site legítimo e, no mundo das criptomoedas, isso geralmente significa uma página que pede para você conectar sua carteira e aprovar uma transação que a esvazia. A própria rede blockchain pode estar segura; os sites que a utilizam, porém, podem não estar.

Nos próximos dias, verifique três vezes o que você está assinando, adicione os sites que você usa aos favoritos em vez de clicar em links e use uma carteira de hardware, se tiver uma. Até o momento, nenhuma corretora de criptomoedas relatou publicamente uma violação relacionada ao PHP2Shell.

Então, é seguro?

Navegar na web hoje é tão seguro quanto era na semana passada, ou seja, não é totalmente seguro. A verdadeira vulnerabilidade está em servidores que não foram atualizados, e a empresa de segurança Mallory contabilizou aproximadamente 884.000 hosts expostos à internet executando versões do PHP que não recebem correção oficial.

O conselho da Amazon para profissionais de segurança é basicamente que isso ainda não acabou. “Os profissionais de segurança não devem presumir que a data de divulgação pública seja a data mais antiga de exploração.” Qualquer servidor que tenha executado uma versão vulnerável desde pelo menos 17 de outubro deve ser verificado, e não apenas corrigido.

* Traduzido e editado com autorização do Decrypt.

Procurando uma alternativa para aumentar seus ganhos? A Renda Fixa Digital do MB é a solução: até 18% de ganho ao ano, risco controlado e a segurança que seu dinheiro merece. Conheça agora!

O post Internet está segura novamente após falhas graves? Veja o que dizem especialistas apareceu primeiro em Portal do Bitcoin.

Fonte: Portal do Bitcoin