Falhas críticas no PHP derrubam sites de governos e geram milhões de tentativas de exploração; IA acelera ofensivas e caso ConnectWise amplia alerta global

Nesta quinta-feira (22/10/2026), governos, empresas de tecnologia, provedores de internet e equipes de segurança cibernética permanecem mobilizados para corrigir duas vulnerabilidades críticas no PHP, identificadas como CVE-2026-109618 e CVE-2026-109619, capazes de permitir execução remota de código sem autenticação em servidores expostos à internet. A divulgação das falhas, descobertas com auxílio de sistemas avançados de inteligência artificial, levou instituições públicas da Europa, Ásia e também do Brasil a restringirem ou suspenderem serviços digitais como medida preventiva. A Cloudflare informou ter observado uma escalada de milhares para milhões de tentativas de exploração em poucas horas. Paralelamente, mas sem relação causal comprovada com as vulnerabilidades do PHP, a Microsoft atribuiu ao grupo Storm-0940, alinhado ao Estado chinês, uma campanha contra centenas de organizações que utilizou o framework de inteligência artificial agente ARTEX e alcançou a infraestrutura da ConnectWise, acrescentando ao episódio uma dimensão mais ampla: a IA está sendo empregada simultaneamente para descobrir falhas, acelerar correções e automatizar operações ofensivas em escala global.

PHP libera correções emergenciais para duas vulnerabilidades críticas

O projeto PHP publicou em 21/10/2026 versões emergenciais destinadas a corrigir as duas falhas: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O comunicado oficial classifica como expostas todas as instalações que processam requisições web, incluindo ambientes PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O risco é considerado particularmente elevado em configurações com mod_php, nas quais foi demonstrada exploração capaz de ocorrer antes mesmo da execução do código da aplicação.

A CVE-2026-109618 está relacionada ao tratamento inadequado de situações de falta de memória, conhecidas como out-of-memory ou OOM. Nessas circunstâncias, o PHP pode interromper uma operação quando estruturas internas ainda não foram completamente inicializadas e, posteriormente, manipular esses dados incompletos como se fossem válidos.

A CVE-2026-109619, por sua vez, envolve a permanência de referências internas depois de a memória correspondente já ter sido liberada. Uma requisição posterior processada pelo mesmo trabalhador do PHP pode reutilizar esse estado obsoleto, abrindo caminho para corrupção de memória, exposição de informações e, sob determinadas condições, execução de código remoto.

As duas vulnerabilidades receberam pontuação 9,2 de 10 no CVSS v4.0, classificação crítica. A documentação técnica produzida por pesquisadores e empresas de segurança indica que versões do PHP desde a 5.4 são afetadas. O Google Cloud situa o intervalo vulnerável entre PHP 5.4 e PHP 8.5.11.

Sistemas antigos ampliam a exposição

O problema assume dimensão adicional porque versões antigas do PHP continuam instaladas em servidores que sustentam aplicações legadas. O projeto PHP informou que PHP 8.1 e anteriores já não recebem atualizações regulares diretamente do projeto, embora alguns distribuidores e fornecedores de suporte de longo prazo possam oferecer correções retroativas. Para ambientes específicos, foram disponibilizados backports mínimos também para PHP 7.4, 8.0 e 8.1.

A recomendação principal, entretanto, permanece inequívoca: atualizar para uma versão suportada e corrigida. As medidas temporárias de redução de exposição divulgadas pelo PHP não equivalem a uma solução definitiva.

Isso é especialmente relevante para instalações baseadas em WordPress, Drupal, Joomla, Magento, MediaWiki e outros sistemas construídos sobre PHP. A vulnerabilidade está no próprio ambiente de execução da linguagem, e não necessariamente no código dessas aplicações. Portanto, atualizar apenas plugins, temas ou o sistema de gerenciamento de conteúdo não elimina a falha se o PHP subjacente permanecer vulnerável.

PHP está presente em parcela majoritária da infraestrutura web identificável

O alcance potencial explica a resposta internacional. Dados citados pela Reuters a partir da W3Techs indicam que o PHP é utilizado em cerca de 70% dos sites cuja linguagem de programação do servidor pode ser identificada. O WordPress, uma das plataformas sustentadas por PHP, responde sozinho por parcela expressiva da web mundial.

Essa arquitetura produz um problema sistêmico: uma vulnerabilidade no núcleo da linguagem pode atingir simultaneamente sites institucionais, lojas virtuais, portais governamentais, veículos de comunicação, pequenas empresas, hospitais e sistemas corporativos.

Segundo dados da empresa de inteligência de internet Censys citados pela Reuters, aproximadamente 1,5 milhão de 2,6 milhões de hosts identificados naquele levantamento declaravam executar versões de PHP para as quais não havia correção direta disponível no momento da análise. O dado representa uma fotografia do período da divulgação e não significa que todos esses sistemas tenham sido efetivamente comprometidos.

Sites governamentais são retirados do ar por precaução

A divulgação levou organismos de cibersegurança a recomendar que administradores incapazes de aplicar imediatamente as atualizações isolassem temporariamente sistemas públicos vulneráveis.

Na Holanda, sites governamentais e o próprio centro nacional de segurança cibernética ficaram temporariamente indisponíveis. Também foram retirados do ar serviços do Porto de Roterdã, o portal governamental Overheid.nl, páginas de partidos políticos, hospitais e outros serviços. Na Dinamarca, a empresa municipal de tecnologia Kombit suspendeu serviços, entre eles uma plataforma nacional de comunicação escolar. França, Finlândia e outras administrações também adotaram medidas preventivas.

A Wikipedia informou ter retirado temporariamente alguns sistemas de operação, enquanto o Internet Archive também ficou brevemente fora do ar para tratamento do problema. No Japão, a primeira-ministra Sanae Takaichi recomendou que responsáveis por websites verificassem a utilização de PHP e preparassem as atualizações.

O Ministério das Finanças do Japão suspendeu parte de seus conteúdos e serviços digitais enquanto medidas emergenciais eram implementadas. O grupo financeiro Mitsubishi UFJ Financial Group também interrompeu temporariamente determinados serviços de internet como medida de segurança.

Brasil emite recomendação oficial e TRF1 suspende acesso externo ao SEI

No Brasil, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo — CTIR Gov, vinculado ao Gabinete de Segurança Institucional da Presidência da República, publicou em 21/10/2026 a Recomendação Técnica nº 19/2026.

O documento confirma a criticidade das CVE-2026-109618 e CVE-2026-109619, recomenda atualização imediata e orienta os órgãos a identificarem todas as aplicações que utilizam PHP. Quando a atualização não puder ser realizada imediatamente, o CTIR Gov recomenda considerar o isolamento temporário das aplicações expostas à internet.

A orientação brasileira praticamente reproduz a estratégia adotada pelas principais autoridades cibernéticas internacionais: a continuidade de um serviço digital não deve prevalecer sobre a proteção do sistema quando existe possibilidade concreta de execução remota de código sem autenticação.

A vulnerabilidade produziu efeitos práticos no serviço público brasileiro. O Tribunal Regional Federal da 1ª Região — TRF1 informou às 13h47 de 21/10/2026 que suspendeu temporariamente o acesso externo ao Sistema Eletrônico de Informações — SEI, em atendimento a recomendação do Tribunal Regional Federal da 4ª Região e em razão das vulnerabilidades relacionadas ao PHP. A Corte afirmou que a medida tinha caráter preventivo e buscava preservar a segurança do sistema e a integridade das informações. Até a atualização consultada nesta quinta-feira, o comunicado não estabelecia previsão para restabelecimento externo.

Cloudflare registra salto de milhares para milhões de tentativas de exploração

O período imediatamente posterior à divulgação evidenciou outro elemento crítico: a velocidade com que informações técnicas sobre vulnerabilidades graves são incorporadas a ferramentas automatizadas de ataque.

O diretor-executivo da Cloudflare, Matthew Prince, informou que, nas dez horas anteriores ao anúncio público, a infraestrutura da empresa já registrava milhares de tentativas de exploração. Nos 45 minutos posteriores à divulgação, o volume avançou para dezenas de milhares; em duas horas, chegou a centenas de milhares; posteriormente, alcançou milhões de tentativas.

O crescimento não significa que milhões de servidores tenham sido comprometidos. Uma tentativa detectada pode ser bloqueada, repetida contra o mesmo destino, originada por varredura automatizada ou falhar em razão da configuração específica do sistema.

A métrica, entretanto, demonstra que a janela tradicional entre a publicação de uma vulnerabilidade e o início da exploração em larga escala está se estreitando. Administradores que antes podiam contar com dias para avaliar e instalar uma correção passam a enfrentar varreduras automatizadas praticamente imediatas.

Cloudflare criou proteções antes da divulgação pública

A Cloudflare afirmou ter participado de um processo coordenado de preparação das defesas e implantado regras de Web Application Firewall — WAF aproximadamente nove horas antes da divulgação pública.

Segundo a companhia, proteções contra o chamado php2shell foram ativadas para clientes gratuitos e pagos. A empresa ressaltou, porém, que a filtragem por WAF funciona como camada adicional de defesa e não substitui a atualização do PHP.

A companhia também informou ter observado adaptações sucessivas das cargas maliciosas destinadas a contornar os mecanismos defensivos. O comportamento reforça a característica dinâmica desse tipo de crise: depois que o conhecimento técnico se torna público, atacantes e defensores passam a alterar continuamente ferramentas, assinaturas e técnicas.

Inteligência artificial ajudou a descobrir falhas ocultas durante mais de uma década

Um dos aspectos mais relevantes do episódio é a participação de modelos de inteligência artificial na descoberta e exploração controlada das vulnerabilidades.

A empresa de segurança Calif afirmou ter identificado falhas em 01/08/2026 com auxílio de um grande modelo de linguagem e posteriormente coordenado a divulgação com desenvolvedores e outras organizações. Segundo a Reuters, o primeiro problema foi reportado à equipe do PHP em 11/08/2026.

Separadamente, pesquisadores da Wiz, empresa pertencente ao Google, registram que começaram sua descoberta em 19/08/2026, confirmaram execução remota de código contra Drupal em 20/08, demonstraram a exploração contra WordPress em 21/08 e notificaram a equipe de segurança do PHP em 24/08.

A Wiz relata ter utilizado seu sistema autônomo Wiz Atlas, o Gemini 4 Argon, do Google, e o GPT-5.6 Sol, da OpenAI, durante o trabalho. As vulnerabilidades envolviam cadeias complexas de manipulação e reaproveitamento de memória que, segundo os pesquisadores, permaneceram ocultas no código por mais de uma década.

A relevância histórica do episódio não reside apenas no fato de uma IA ter auxiliado na localização de um erro. O ponto estrutural é que modelos capazes de analisar grandes bases de código, testar hipóteses, adaptar explorações e repetir tarefas em velocidade elevada podem tornar economicamente viáveis ataques que anteriormente exigiam equipes altamente especializadas e longos períodos de pesquisa.

IA também reduz tempo necessário para operações ofensivas

Essa transformação aparece de forma ainda mais clara em outro caso revelado praticamente no mesmo período.

Em 21/10/2026, a Microsoft Threat Intelligence informou que o grupo Storm-0940, classificado pela empresa como alinhado ao Estado chinês, utiliza desde pelo menos setembro o framework de inteligência artificial agente ARTEX para automatizar operações contra organizações de diferentes setores.

É fundamental distinguir os episódios: não há evidência apresentada pelas fontes consultadas de que o comprometimento da ConnectWise tenha sido provocado pelas vulnerabilidades CVE-2026-109618 ou CVE-2026-109619. Trata-se de uma ocorrência separada, incluída no mesmo contexto porque demonstra outra forma pela qual a IA está alterando a escala e a velocidade das operações cibernéticas.

O ARTEX é descrito pela Microsoft como um framework de testes de penetração de código aberto baseado em múltiplos agentes de modelos de linguagem. A ferramenta pode automatizar etapas que vão de reconhecimento e identificação de alvos até atividades de exploração e exfiltração. Como ocorre com outras ferramentas de segurança ofensiva, ela pode ser utilizada legitimamente por pesquisadores ou abusada por agentes maliciosos.

Microsoft atribui ataque à ConnectWise ao Storm-0940

A Microsoft avaliou que o Storm-0940 foi responsável pelo comprometimento da cadeia de fornecimento envolvendo uma aplicação multi-inquilino da ConnectWise Cloud Backup, anteriormente denominada SkyKick.

Segundo a companhia, o grupo empregou o ARTEX para acelerar reconhecimento, varredura, ataques de senha e abuso de aplicações OAuth em organizações que utilizavam conexões previamente autorizadas da ConnectWise em ambientes Microsoft 365.

A escala operacional registrada foi elevada. A Microsoft informou que, após obter controle sobre identidades de aplicações da ConnectWise, o atacante tentou autenticar-se em mais de 2.250 tenants, chegando a aproximadamente 2.900 tentativas de login por minuto.

Entre 10 e 14/10/2026, uma campanha associada à infraestrutura do Storm-0940 realizou ataques automatizados contra 327 contas de oito organizações, produzindo mais de 151 mil eventos de autenticação malsucedida. A Microsoft ressaltou que, nesse conjunto específico, não observou autenticação bem-sucedida, emissão de token ou alteração de diretório.

Em outras ações conduzidas com o ARTEX, entretanto, o grupo conseguiu persistência privilegiada em ambientes de nuvem. A Microsoft documentou situações em que o intervalo entre a seleção do alvo e a obtenção de acesso privilegiado ficou abaixo de três horas.

ConnectWise iniciou restauração, mas clientes precisam investigar seus próprios ambientes

A ConnectWise informou ter identificado o problema em 14/10/2026 e tornou pública a investigação em 16/10. Em seguida, suspendeu o Cloud Backup e conexões associadas, revogou credenciais, iniciou análise forense com especialistas externos e realizou redefinições de contas e credenciais.

Em atualização publicada às 22h UTC de 21/10, a empresa afirmou, com base em suas próprias evidências e em informações de inteligência compartilhadas pela Microsoft, que o ataque parecia ter sido realizado por um grupo alinhado ao Estado chinês. A companhia acrescentou que a restauração dos serviços estava sendo executada em fases controladas.

Já às 00h45 UTC de 22/10/2026, a ConnectWise informou que a restauração gradual prosseguia, que os arquivos de backup existentes permaneciam criptografados, isolados e preservados e que não havia indicação de comprometimento desses arquivos.

A empresa fez, contudo, uma ressalva importante: eliminar as conexões comprometidas não remove automaticamente credenciais ou mecanismos de persistência que possam ter sido criados dentro de ambientes individuais de clientes. Cada tenant Microsoft 365 potencialmente atingido precisa ser examinado separadamente.

China rejeita acusações relacionadas a atividades hackers

A atribuição do ataque à ConnectWise é uma avaliação técnica da Microsoft e da própria empresa afetada, e não uma determinação judicial ou internacional independente.

Questionada pela Reuters, a Embaixada da China em Washington afirmou que o país combate atividades hackers conforme sua legislação e rejeitou acusações contra Pequim feitas sob o argumento da segurança cibernética.

A posição chinesa integra o contraditório necessário à análise. A Microsoft classifica o Storm-0940 como ator alinhado à China com histórico de atividade desde pelo menos 2021, mas a atribuição de operações cibernéticas a Estados envolve análise de infraestrutura, comportamento, ferramentas, alvos e inteligência técnica e pode ser contestada pelos países mencionados.

Dois episódios revelam transformação estrutural da cibersegurança

Apesar de tecnicamente diferentes, a emergência do PHP e o ataque à ConnectWise convergem em um aspecto: a inteligência artificial está reduzindo o custo temporal de operações complexas tanto para pesquisadores defensivos quanto para agentes ofensivos.

No caso do PHP, ferramentas de IA auxiliaram pesquisadores a encontrar e transformar em provas de conceito vulnerabilidades que permaneceram no código durante anos. Esse uso permitiu que desenvolvedores e empresas coordenassem correções antes da divulgação pública.

Depois da publicação, entretanto, a mesma capacidade de automação pode facilitar a engenharia reversa, a geração de variantes e a exploração em massa. O salto registrado pela Cloudflare de milhares para milhões de tentativas ilustra como o período disponível para aplicação de atualizações críticas pode passar de dias para horas ou minutos.

No caso Storm-0940, a Microsoft documentou uma mudança semelhante na operação ofensiva: agentes automatizados conseguem executar reconhecimento, testar credenciais e atuar simultaneamente em numerosos ambientes sem depender da mesma disponibilidade temporal exigida de operadores humanos.

Risco brasileiro envolve governo, empresas e sites baseados em CMS

A repercussão no TRF1 demonstra que o risco não é exclusivamente europeu ou norte-americano. O CTIR Gov orientou todos os órgãos e organizações brasileiras afetados a identificar aplicações PHP, atualizar instalações e, quando isso não for imediatamente possível, avaliar o isolamento dos serviços da internet.

O problema também merece atenção no setor privado. Sites corporativos, portais de notícias, sistemas acadêmicos, lojas virtuais, aplicações internas e plataformas baseadas em WordPress, Drupal, Joomla ou outras tecnologias PHP precisam verificar a versão efetivamente executada no servidor.

Hospedagens compartilhadas representam um desafio adicional. Em muitos casos, o proprietário do website administra o conteúdo, mas não controla diretamente o runtime do PHP. A responsabilidade pela atualização pode estar nas mãos do provedor de hospedagem.

Do ponto de vista operacional, a providência central é verificar a versão do PHP instalada, confirmar a aplicação dos pacotes corrigidos pelo fornecedor e analisar registros de acesso referentes ao período anterior e posterior à divulgação. A inexistência de sinais evidentes de alteração visual do site não permite, isoladamente, descartar comprometimento.

Lacunas permanecem sobre extensão real dos ataques

Embora existam milhões de tentativas registradas pela Cloudflare, não há até o momento um balanço público consolidado que permita afirmar quantos servidores foram efetivamente invadidos por meio das duas vulnerabilidades do PHP.

Também permanece necessário distinguir tentativa de exploração, exploração bem-sucedida, acesso inicial, persistência e exfiltração de dados. São etapas distintas, e a detecção de uma requisição maliciosa não comprova automaticamente comprometimento do servidor.

Da mesma forma, no incidente da ConnectWise, a Microsoft registrou atividades bem-sucedidas em determinados ambientes e a empresa reconheceu acesso não autorizado a credenciais de aplicações, mas mantém a investigação sobre os efeitos em tenants individuais. A ConnectWise afirma não possuir indicação de comprometimento dos arquivos de backup preservados.

A situação, portanto, exige acompanhamento técnico continuado. Os principais elementos pendentes são o número de sistemas efetivamente comprometidos pelo php2shell, eventuais vazamentos ou implantações de mecanismos persistentes, o ritmo de atualização de servidores legados e a extensão final do incidente relacionado à ConnectWise.

Linha do tempo dos principais acontecimentos

• 01/08/2026 — Pesquisadores da Calif afirmam ter identificado vulnerabilidades no PHP com auxílio de inteligência artificial; o episódio inicia processo de investigação e divulgação coordenada.
• 11/08/2026 — Segundo a Reuters, pesquisadores da Calif, trabalhando com a OpenAI, reportam a primeira falha à equipe responsável pelo PHP.
• 19/08/2026 — A Wiz Research registra a descoberta independente de vulnerabilidade no PHP com uso de Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol.
• 20/08/2026 — A Wiz confirma execução remota de código não autenticada contra Drupal em ambiente de teste.
• 21/08/2026 — Pesquisadores confirmam exploração controlada contra WordPress.
• 24/08/2026 — A Wiz informa formalmente as vulnerabilidades à equipe de segurança do PHP.
• Setembro de 2026 — A Microsoft identifica o Storm-0940 utilizando o framework de IA agente ARTEX em campanhas contra centenas de organizações. Trata-se de operação independente das vulnerabilidades do PHP.
• 21/09/2026 — Segundo a cronologia da Wiz, o PHP reconhece os relatórios e avança no desenvolvimento coordenado das correções.
• Início de outubro de 2026 — A Cloudflare desenvolve e começa a implantar proteções de WAF para as vulnerabilidades do PHP antes da divulgação pública.
• 10 a 14/10/2026 — Infraestrutura atribuída pela Microsoft ao Storm-0940 realiza mais de 151 mil tentativas malsucedidas de autenticação contra 327 contas em oito organizações.
• 14/10/2026 — A ConnectWise identifica atividade não autorizada no ambiente Cloud Backup e inicia resposta ao incidente.
• 16/10/2026 — A ConnectWise divulga publicamente investigação sobre tentativas de acesso não autorizado relacionadas ao Cloud Backup.
• 20/10/2026 — A equipe do PHP anuncia antecipadamente que publicará atualizações emergenciais para duas vulnerabilidades classificadas com CVSS 9,2.
• 21/10/2026 — PHP lança as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 com as correções para CVE-2026-109618 e CVE-2026-109619.
• 21/10/2026 — Governos, empresas e instituições em diferentes países retiram temporariamente sistemas da internet enquanto aplicam as correções.
• 21/10/2026 — O CTIR Gov publica a Recomendação Técnica nº 19/2026, orientando órgãos brasileiros a atualizar sistemas PHP ou considerar isolamento temporário das aplicações expostas.
• 21/10/2026 — O TRF1 suspende preventivamente o acesso externo ao SEI devido às vulnerabilidades relacionadas ao PHP.
• 21/10/2026 — Microsoft atribui ao Storm-0940 o comprometimento relacionado à ConnectWise e detalha o emprego do ARTEX para automatizar operações contra centenas de organizações.
• 22/10/2026 — A Cloudflare informa que as tentativas de exploração das vulnerabilidades PHP já haviam alcançado a escala de milhões.
• 22/10/2026 — A ConnectWise informa que a restauração gradual do Cloud Backup continua e mantém a orientação para revisão individual dos ambientes Microsoft 365 potencialmente expostos.

Fatos confirmados: existem duas vulnerabilidades críticas no núcleo do PHP, há correções oficiais disponíveis, governos e instituições retiraram preventivamente serviços da internet, o Brasil emitiu recomendação específica por meio do CTIR Gov e o TRF1 restringiu o acesso externo ao SEI. Também está documentado que a Cloudflare observou milhões de tentativas de exploração depois da divulgação. Esses elementos caracterizam uma crise internacional de segurança de software, embora não permitam concluir que todos os sistemas vulneráveis tenham sido efetivamente invadidos.

Versões e atribuições: no caso ConnectWise, Microsoft e a própria empresa atribuem a atividade ao Storm-0940, descrito como alinhado ao Estado chinês. Pequim rejeita acusações de envolvimento em atividades hackers. Não foi apresentada evidência de que o ataque à ConnectWise decorra das falhas do PHP; tratá-los como uma única operação seria tecnicamente incorreto. A conexão relevante entre os episódios está no emprego crescente de inteligência artificial para acelerar pesquisa de vulnerabilidades, reconhecimento, exploração, persistência e resposta defensiva.

Questões ainda dependentes de confirmação: não existe, até o momento, levantamento público consolidado sobre o número de servidores efetivamente comprometidos por CVE-2026-109618 e CVE-2026-109619, quais dados eventualmente foram acessados nem quantos mecanismos persistentes podem ter sido implantados antes da atualização. No caso ConnectWise, cada tenant de cliente precisa ser examinado individualmente. A investigação também deverá esclarecer o alcance efetivo dos acessos obtidos pelo Storm-0940 e separar tentativas automatizadas, autenticações válidas, alterações administrativas e eventual extração de informações.

O significado público dos episódios está na compressão inédita do intervalo entre descoberta, divulgação e exploração. A inteligência artificial amplia a capacidade de localizar vulnerabilidades antes desconhecidas, mas igualmente reduz o custo operacional para quem pretende transformar falhas em ataques automatizados. Governos, empresas de hospedagem, fornecedores de nuvem, administradores de sistemas, órgãos de segurança cibernética e desenvolvedores passam, portanto, a responder por uma infraestrutura na qual correções críticas precisam ser distribuídas em horas, não mais em semanas. No curto prazo, a prioridade é atualizar PHP e examinar registros; no médio e longo prazos, o desafio será reduzir sistemas legados, limitar privilégios e incorporar segurança de software e governança de IA à infraestrutura essencial.

O post Falhas críticas no PHP derrubam sites de governos e geram milhões de tentativas de exploração; IA acelera ofensivas e caso ConnectWise amplia alerta global apareceu primeiro em Jornal Grande Bahia (JGB).