Uma nova campanha de ataques cibernéticos acendeu um alerta para administradores de redes e profissionais de tecnologia. Batizada de PHP2Shell, a operação conseguiu comprometer 25 servidores em diferentes países, explorando falhas de segurança em sistemas PHP e no kernel Linux para obter acesso com privilégios de administrador, incluindo o nível root.
A investigação foi divulgada em 26 de outubro de 2026 pela empresa de cibersegurança Dream, que identificou uma sequência de vulnerabilidades utilizadas para invadir firewalls e alcançar infraestruturas internas. Entre os ambientes comprometidos está uma rede ligada ao governo dos Estados Unidos, onde os invasores conseguiram avançar até serviços importantes de autenticação e gerenciamento de usuários.
O caso chama a atenção porque demonstra como vulnerabilidades aparentemente isoladas podem ser combinadas para comprometer toda uma infraestrutura de tecnologia. Além disso, reforça a importância de manter sistemas atualizados e revisar constantemente as configurações de acesso remoto.
O que é o ataque PHP2Shell e como ele conseguiu invadir 25 servidores?
O ataque PHP2Shell utilizou uma cadeia de três vulnerabilidades para transformar o acesso inicial a servidores web em controle administrativo completo. A operação começou com duas falhas no PHP, identificadas como CVE-2026-109618 e CVE-2026-109619, que permitiam executar comandos remotamente com os privilégios do serviço web.
Entretanto, os criminosos não se limitaram ao acesso inicial. Depois de comprometer os servidores, utilizaram uma terceira vulnerabilidade no kernel Linux, identificada como CVE-2026-46300 e apelidada de Fragnesia.
Essa falha permitiu elevar os privilégios do sistema e alcançar o nível root, que representa o controle administrativo máximo em ambientes Linux.
A combinação dessas vulnerabilidades tornou o PHP2Shell especialmente perigoso, pois possibilitou transformar uma invasão inicialmente limitada em comprometimento completo dos equipamentos.
Quais vulnerabilidades foram utilizadas?
A campanha explorou três falhas distintas, cada uma desempenhando uma função específica dentro da cadeia de invasão.
| Vulnerabilidade | Componente afetado | Função no ataque |
|---|---|---|
| CVE-2026-109618 | PHP | Execução remota de comandos |
| CVE-2026-109619 | PHP | Execução remota de comandos |
| CVE-2026-46300 | Kernel Linux | Elevação de privilégios para root |
A vulnerabilidade Fragnesia recebeu pontuação 7,8, considerada alta na escala CVSS. Isso demonstra o potencial de impacto da falha quando explorada em conjunto com outras vulnerabilidades.
Como os criminosos selecionaram os servidores vulneráveis?
Segundo a investigação da Dream, os responsáveis pela campanha utilizaram o mecanismo de busca chinês FOFA para localizar equipamentos expostos na internet.
A ferramenta permitiu identificar aproximadamente 19 mil firewalls potencialmente interessantes para a operação. Desse total, cerca de 5 mil estavam respondendo às consultas realizadas pelos operadores.
Posteriormente, os invasores selecionaram aproximadamente 240 equipamentos considerando critérios como país e versão do PHP instalada.
A execução em lote resultou no comprometimento de 24 firewalls e de um servidor interno responsável pelo gerenciamento desses equipamentos.
Países atingidos pela campanha
A investigação identificou equipamentos comprometidos em quatro regiões:
- Estados Unidos;
- Japão;
- Taiwan;
- Coreia do Sul.
Dos 25 servidores comprometidos, 24 eram firewalls de perímetro de um mesmo fabricante, cujo nome não foi divulgado pela empresa de segurança. O outro equipamento era um servidor interno de gerenciamento.
Em 22 dos equipamentos, os invasores instalaram um webshell com privilégios de root. Esse mecanismo permite executar comandos remotamente no sistema comprometido.
Um detalhe preocupante é que, segundo a Dream, os criminosos não retornaram a esses 22 equipamentos depois da instalação dos webshells, embora já tivessem obtido controle administrativo.
Rede ligada ao governo americano também foi comprometida
Um dos pontos mais preocupantes da investigação envolve três equipamentos pertencentes a um ambiente relacionado ao governo dos Estados Unidos.
Nesse ambiente, foram identificados dois firewalls e um servidor de gerenciamento comprometidos.
Diferentemente dos demais equipamentos, nesse caso os invasores avançaram para dentro da infraestrutura corporativa, utilizando mecanismos para estabelecer comunicação com sistemas internos.
Túnel SSH reverso abriu caminho para a rede interna
A Dream identificou a utilização de um túnel SSH reverso com oito portas, que permitiu aos invasores estabelecer caminhos de comunicação com recursos internos.
A partir desse acesso, os criminosos conseguiram alcançar controladores de domínio e componentes da infraestrutura de VPN.
Esses sistemas são particularmente importantes em ambientes corporativos, pois concentram funções de autenticação, autorização e gerenciamento de acessos.
A investigação também identificou que os invasores conseguiram decifrar a senha de uma conta de serviço LDAP.
Com essa credencial, realizaram atividades de reconhecimento no Active Directory, identificando usuários e grupos existentes na infraestrutura.
Tentativas de criar contas de acesso clandestinas
Após obter informações sobre o ambiente, os invasores executaram uma pulverização de senhas, técnica conhecida como password spraying.
Nesse método, os criminosos tentam utilizar uma quantidade limitada de senhas comuns contra diversas contas, procurando identificar credenciais válidas.
Também foram identificadas tentativas de criação de contas clandestinas, conhecidas como backdoors, que poderiam permitir acessos futuros à rede comprometida.
Esse comportamento demonstra como uma falha em um equipamento de borda pode representar um risco muito maior do que o comprometimento de um único firewall.
Inteligência artificial apareceu na infraestrutura dos invasores?
Outro detalhe interessante identificado pela Dream foi a presença de ferramentas de inteligência artificial na plataforma utilizada pelos operadores.
Entre os recursos encontrados estavam o Claude Code, além dos modelos DeepSeek e Kimi configurados no ambiente.
A investigação também identificou instruções em chinês nos registros da plataforma e horários de atividade compatíveis com o fuso UTC+8.
Esses elementos foram apontados como possíveis indicadores de origem chinesa da operação.
Entretanto, a empresa responsável pela investigação não atribuiu o ataque a um grupo específico ou a um governo. Também não encontrou evidências diretas de que a inteligência artificial tenha sido utilizada para desenvolver o código de exploração das vulnerabilidades.
Portanto, a presença dessas ferramentas não significa que a IA tenha criado ou executado automaticamente o ataque.
Como se proteger contra o PHP2Shell?
O episódio reforça a necessidade de adotar medidas preventivas de segurança da informação, principalmente em equipamentos responsáveis pela proteção do perímetro das redes corporativas.
Uma das principais recomendações é verificar se os sistemas de gerenciamento dos firewalls estão acessíveis diretamente pela internet.
A Dream aponta justamente a exposição da interface administrativa como um dos fatores que permitiram o acesso inicial ao ambiente comprometido.
Medidas recomendadas para administradores de redes
| Medida de proteção | Objetivo | Prioridade |
|---|---|---|
| Atualizar o firmware dos firewalls | Corrigir vulnerabilidades conhecidas | Crítica |
| Atualizar o kernel Linux | Corrigir a falha Fragnesia | Crítica |
| Restringir interfaces administrativas | Evitar exposição à internet | Crítica |
| Implementar MFA | Reduzir riscos de acesso indevido | Alta |
| Monitorar conexões SSH | Identificar túneis suspeitos | Alta |
| Revisar contas LDAP e AD | Identificar credenciais comprometidas | Alta |
| Verificar webshells | Identificar possíveis mecanismos de persistência | Alta |
Atenção às versões de PHP embarcadas
Um dos maiores desafios identificados nesse incidente envolve a presença de versões antigas do PHP dentro do firmware dos firewalls.
Segundo a investigação, os equipamentos utilizavam PHP 8.0.30 e PHP 7.4.33.
O problema é que essas versões podem não aparecer nos inventários tradicionais de pacotes do sistema operacional, dificultando a identificação de componentes vulneráveis.
Por isso, administradores não devem depender exclusivamente das ferramentas convencionais de inventário para avaliar a exposição de equipamentos de rede.
É fundamental consultar os boletins de segurança dos fabricantes e verificar a disponibilidade de atualizações específicas para o firmware.
O que esse ataque representa para a segurança das empresas?
O incidente PHP2Shell demonstra que firewalls não devem ser considerados equipamentos imunes a ataques. Mesmo soluções utilizadas para proteger redes corporativas podem apresentar componentes vulneráveis e configurações inadequadas.
Outro ponto importante é a possibilidade de utilizar um equipamento comprometido como porta de entrada para sistemas internos, incluindo controladores de domínio, serviços LDAP e infraestrutura de VPN.
Na prática, isso significa que uma vulnerabilidade em um equipamento de borda pode evoluir para um incidente envolvendo toda a estrutura de autenticação de uma organização.
A melhor estratégia é combinar atualizações frequentes, segmentação de rede, autenticação multifator, monitoramento de eventos e auditorias periódicas.
A segurança da informação também depende de uma política rigorosa de gerenciamento de vulnerabilidades, especialmente em equipamentos que possuem interfaces administrativas acessíveis remotamente.
PHP2Shell reforça o alerta sobre firewalls vulneráveis
A campanha PHP2Shell representa mais um alerta sobre os riscos de manter equipamentos de rede com componentes desatualizados e interfaces administrativas expostas à internet.
Com 25 servidores comprometidos e uma rede ligada ao governo americano entre os ambientes atingidos, a investigação mostra como três vulnerabilidades combinadas podem permitir que invasores ultrapassem as primeiras barreiras de proteção e alcancem sistemas internos estratégicos.
Para empresas e órgãos públicos, a principal lição é clara: atualizar firewalls, revisar o acesso administrativo e monitorar continuamente a infraestrutura são medidas indispensáveis para fortalecer a segurança da informação.
Ignorar componentes antigos presentes no firmware pode deixar brechas importantes abertas, mesmo quando o sistema operacional aparenta estar atualizado.
