Cibercriminosos tentaram explorar duas falhas críticas no PHP, conhecidas como PHP2Shell (CVE-2026-109618 e CVE-2026-109619), para disseminar a rede de robôs maliciosos Mirai, dois dias após a liberação de atualizações de emergência. Governos e empresas globais foram alertados, mas relatórios de diversas empresas de segurança digital confirmam que, até o momento, nenhuma invasão obteve sucesso em sistemas reais.

As vulnerabilidades PHP2Shell, que receberam nota de gravidade 9,2 em uma escala de 10, afetam o motor da linguagem PHP, fundamental para grande parte dos sites mundiais. Elas permitiriam que invasores tomassem o controle de servidores sem a necessidade de senha ou login, conforme apurado por pesquisadores das empresas Wiz, OpenAI e Calif. As correções oficiais foram liberadas em 21 de outubro nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP.

Apesar da alta gravidade, a aplicação prática dos ataques mostrou-se complexa. A empresa Sophos identificou tentativas de instalar uma variante do malware Mirai, denominada Potassium, mas todas as investidas foram impedidas antes que os arquivos chegassem aos computadores das vítimas, segundo seu relatório de segurança. Análises da Arctic Wolf também conectaram executáveis do Potassium a servidores de ataque do PHP2Shell, sem registros de infecção concluída.

Pesquisadores da Sophos afirmaram que a ausência de explorações bem-sucedidas no mundo real sugere dificuldades enfrentadas pelos próprios criminosos. A equipe de testes da big tech tentou criar um código para dominar um sistema usando as falhas e encontrou barreiras complexas, mesmo com apoio de ferramentas de inteligência artificial. A empresa Sansec também identificou que códigos de invasão públicos falham contra instalações do PHP mantidas em configurações padrão.

Para Ensar Seker, executivo principal de Segurança da Informação da SOCRadar, a preocupação do mercado é justificável por afetar o núcleo da linguagem. Seker explicou que as implantações mod_php do Apache são as de maior risco, com ataques que podem ser acionados antes mesmo da execução do código da aplicação. A Amazon Threat Intelligence detectou tentativas em seus sistemas de atração em 17 de outubro, antes da divulgação pública, indicando um padrão de invasores que identificam vulnerabilidades e varrem sistemas alcançáveis, processo que a atenção pública pode acelerar.