PHP2Shell: falha crítica ameaça 70% da web

Se seu site ainda está no ar, confira seu PHP agora

PHP2Shell é o tipo de problema que todo operador temia e ninguém queria admitir. Duas vulnerabilidades críticas no PHP, presentes há quase 20 anos, viraram exploit ativo e começaram a derrubar sites em cadeia. Não estamos falando de um plugin mal configurado ou de um tema desatualizado. Estamos falando da base que roda até 70% da web, incluindo WordPress, Drupal, Wikipedia, DeviantArt, 4chan e milhares de sistemas internos que ninguém toca há anos. Quando o Cloudflare registra milhares de tentativas antes da divulgação, depois centenas de milhares em duas horas e milhões na mesma noite, não é mais alerta preventivo. É incidente em andamento.

Se você opera qualquer aplicação em PHP, hospeda clientes em painel compartilhado ou mantém um WordPress antigo no ar por preguiça, esse artigo é para você. O buraco permite execução remota em cenários reais, forçou o Internet Archive a sair do ar temporariamente, derrubou serviços como Pokémon Home e Pokémon Champions e levou agências governamentais na Holanda e na Finlândia a tirar sites do ar por precaução. A NSA e o centro de segurança do Reino Unido recomendaram a mesma coisa: atualize agora ou desconecte se não conseguir atualizar. É raro ver esse nível de consenso.

O fato: duas falhas em 20 anos de PHP

O que aconteceu é direto. Uma cadeia de exploração apelidada de PHP2Shell foi divulgada depois de ser identificada com ajuda de modelos avançados de IA, incluindo o GPT-5.6 Sol usado por um pesquisador para mapear o caminho completo até a execução. A empresa de segurança Wiz classificou o caso como uma das vulnerabilidades mais graves já vistas na história do software. Não porque seja um bug simples de buffer ou injeção clássica, mas porque ficou escondido por duas décadas em todas as versões relevantes da linguagem, exigindo uma sequência complexa de passos que, segundo os pesquisadores, estava no limite do que humanos conseguiriam montar manualmente.

A divulgação virou um teste de estresse global. O 4chan e o DeviantArt caíram. O Internet Archive caiu e voltou rápido graças ao time de operações, com o fundador Brewster Kahle agradecendo publicamente aos heróis da madrugada e lembrando que o impacto poderia ter afetado infraestrutura física, como energia e semáforos. Dois jogos mobile japoneses antigos, World Quest e Save My Demonic World, anunciaram encerramento porque rodam em pilhas legadas que não têm como receber o patch. Governos desligaram portais inteiros. E o CEO da Cloudflare, Matthew Prince, descreveu a escalada em tempo real, do silêncio pré-divulgação para a enxurrada de scans automatizados. Em poucas horas, todo bot na internet estava testando a mesma porta.

Como funciona: por que esse bug é tão difícil de corrigir

Em termos de operador, o problema não está em uma API específica que você consome, mas no runtime que executa tudo. O PHP interpreta seu código no servidor a cada requisição, e a falha está em camadas profundas desse processamento. Pela análise disponível até agora, a exploração combina comportamentos inesperados no tratamento de requisições com formas de escapar do isolamento esperado e chegar à execução de comandos. Sozinho, cada passo parecia inofensivo. Encadeados com precisão, com ajuda de IA para testar milhares de variações em minutos, viraram acesso total. É plausível que o vetor varie conforme a configuração, versão, SAPI usada e como o servidor passa dados para o PHP, o que explica por que nem todo host é explorável da mesma forma, mas nenhum pode se considerar seguro sem patch.

O ponto crítico para quem opera é a fragmentação. PHP tem versões com suporte ativo e um cemitério de versões 5.x, 7.x e 8.0 que ainda rodam em produção porque quebrariam temas, plugins ou sistemas internos se atualizadas. Muita hospedagem compartilhada trava o cliente em uma versão antiga por compatibilidade. Muito painel legado não tem upgrade limpo. Então não basta lançar um patch. É preciso fazer o patch chegar em milhões de servidores heterogêneos, com dependências quebradas, sem janela de manutenção e sem dono claro. Isso cria latência operacional enorme entre a correção existir e a correção estar aplicada, e é exatamente nessa janela que os atacantes vivem.

Arquitetura, latência e custo do patch

Pensando em arquitetura, quem roda PHP-FPM atrás de Nginx, Apache com mod_php ou containers imutáveis tem caminhos diferentes. Container bem feito se resolve com rebuild da imagem base e redeploy em minutos, com custo quase zero além do teste de regressão. VPS tradicional exige atualizar o pacote do PHP, reiniciar workers e validar logs, algo que leva de 15 minutos a algumas horas por máquina se houver automação. O pesadelo é o parque legado: hospedagem compartilhada com centenas de sites por nó, agências com 200 WordPress desatualizados, prefeituras e intranets sem CI. Ali o custo não é CPU, é hora humana, risco de quebra e falta de rollback. E cada hora de atraso aumenta a probabilidade de varredura, porque WAF ajuda a filtrar, mas não corrige a raiz e pode ser contornado com mutações no payload.

O que isso muda na prática

Quem ganha no curto prazo são provedores de WAF, EDR e gestão de WordPress, além de times que já padronizaram atualização automática e imagens mínimas. Quem perde são todos os outros: agências com dezenas de sites abandonados, criadores independentes, fóruns antigos, wikis comunitárias e serviços que dependem de PHP sem time de segurança. O Internet Archive voltou rápido porque tem operação madura. Os dois jogos japoneses vão desligar porque não têm como migrar. Essa é a bifurcação que você precisa entender. Ou seu PHP é atualizável, ou ele vira passivo que precisa ser isolado ou desligado.

• Verifique agora sua versão com php -v e no painel do host, confira o changelog do seu branch e aplique o patch de segurança mais recente sem esperar a janela mensal.
• Ative regra virtual no Cloudflare ou WAF equivalente, bloqueie tráfego anômalo para endpoints PHP e monitore logs por aumento de 400, 500 e tentativas repetidas no mesmo IP.
• Se você não pode atualizar, isole: tire o host da internet, coloque atrás de autenticação, faça snapshot e planeje migração para versão suportada ou reescrita mínima.

Uma ação prática que você pode fazer hoje em menos de dez minutos é rodar um inventário completo. Liste todos os domínios, subdomínios e IPs que respondem com cabeçalho de PHP ou rodam WordPress, anote a versão exata e marque o que está fora de suporte. A maioria dos times descobre nessa hora três ou quatro sistemas esquecidos que ninguém lembrava. Esses esquecidos são os primeiros a cair. Depois disso, force backup imutável antes de qualquer update, porque patch apressado sem snapshot quebra loja em produção e aí o prejuízo é duplo.

A tensão real: a IA achou, mas quem conserta?

Aqui está a parte incômoda. A mesma IA que ajudou a descobrir a falha antes dos atacantes também barateou drasticamente o custo de transformar bugs obscuros em exploits funcionais. Antes, explorar algo presente há 20 anos exigia um time raro, com meses de engenharia reversa. Agora, um modelo forte testa hipóteses, monta cadeias e gera variantes em escala. A descoberta defensiva acelerou, sim, mas a ofensiva acelerou junto. E a correção continua humana, lenta, manual e cheia de dependência quebrada. Isso escala? Para achar falhas, claramente sim. Para corrigir 70% da web, nem de perto no mesmo ritmo.

Isso resolve ou só move o gargalo? Minha leitura de operador é que move o gargalo do achado para o conserto. Vamos ver mais PHP2Shells nos próximos meses, não só em PHP, mas em bibliotecas antigas em C, Python, Java e JavaScript que sustentam a internet. O custo de varrer código legado com IA caiu para quase zero, enquanto o custo de reescrever e migrar sistemas legados continua altíssimo. O resultado prático é um período de exposição permanente, onde a única vantagem real é ter inventário, automação de deploy e coragem para desligar o que não dá para manter. Manter site histórico no ar por nostalgia, sem patch, virou risco operacional, não apenas débito técnico.

Conclusão

PHP2Shell mostrou que três letras ainda sustentam grande parte da internet e que 20 anos de compatibilidade têm um preço. Atualize, isole ou desligue, mas não finja que um WAF temporário resolve. A pergunta que fica é simples e desconfortável: quantos sistemas em PHP você ainda roda sem saber exatamente qual versão está no ar?