Duas vulnerabilidades críticas descobertas na linguagem de programação PHP amplamente utilizada abalaram as empresas, e as ramificações levarão algum tempo para serem verdadeiramente compreendidas. Mas uma das histórias menos conhecidas gira em torno da divulgação.
De acordo com a PHP Foundation, várias organizações concordaram com um lançamento coordenado detalhando as falhas críticas e ações de mitigação, mas a empresa de segurança cibernética Chainguard quebrou “inlateralmente” esse embargo. Isso levou o projeto PHP a lançar seus patches antecipadamente, mas também permitiu que os invasores estudassem a correção em formato binário e criassem provas de conceito (PoCs) para explorações antes que os defensores tivessem a chance de atualizar seus sistemas.
Mas alguns, incluindo AWS e Cloudflare, afirmam que as explorações ativas começaram horas, até dias antes da divulgação.
Segundo algumas estimativas, desde então houve milhões de tentativas de abusar dos bugs com classificação de gravidade 9,2, conhecidos coletivamente como PHP2Shell. Muitas organizações, incluindo órgãos governamentais, reagiram colocando completamente os seus websites offline.
“Francamente, a história da divulgação é mais interessante do que os próprios bugs”, disse Frank Dickson, da Dickson Research. “Os embargos são importantes. Este era quase impossível de manter.”
A divulgação confusa
CVE-2026-109618 e CVE-2026-109619 podem permitir que invasores lancem ataques de execução remota de código (RCE).
A PHP Foundation reconheceu que um de seus contratantes descobriu os primeiros sinais do problema de falta de memória (OOM) por trás do CVE-2026-109618 já em 2024, mas “nenhum vetor concreto” foi encontrado e outros problemas com “impacto claro” ofuscaram suas preocupações sobre a falha.
Uma pesquisa profunda sobre o problema não ocorreu até 30 de julho de 2026, depois que a Fundação incluiu o projeto PHP no programa Patch the Planet da OpenAI. Pesquisadores da Califórnia, OpenAI e Wiz do Google Cloud “deixaram claro todo o impacto do problema de OOM” e corrigi-lo tornou-se prioridade máxima.
Depois que os pesquisadores desenvolveram patches, os distribuidores, incluindo a Chainguard, os receberam antecipadamente para que seus usuários pudessem atualizá-los “no momento em que as vulnerabilidades fossem divulgadas”, disse a Fundação. Estabeleceu um embargo para 22 de outubro às 14h UTC.
Essa divulgação coordenada pareceu funcionar bem até dois dias antes do levantamento do embargo, explicou a Fundação. No dia 20 de outubro, por volta das 15h UTC, os dois IDs CVE começaram a circular online, embora nenhum detalhe técnico tenha vazado. O projeto PHP antecipou seu pré-anúncio e o publicou às 19h30 UTC. Também mudou o lançamento de correções de 22 de outubro, às 14h UTC, para 21 de outubro, às 14h UTC.
O avanço do prazo do pré-anúncio levou a empresa de segurança cibernética Calif a publicar “erroneamente” um vídeo mostrando uma exploração de PoC contra vários alvos. Também revelou detalhes “limitados” sobre as falhas. O vídeo foi posteriormente excluído, mas já havia começado a circular nas redes sociais.
Então, em 21 de outubro às 07h41 UTC, Chainguard publicou imagens construídas contendo a correção. Isso ocorreu cerca de seis horas antes do horário de lançamento acordado e “desconsiderou semanas de trabalho de muitas partes para uma divulgação coordenada”, alegou a PHP Foundation.
Dezoito horas após o pré-lançamento, no dia 21 de outubro, às 14h UTC, o projeto PHP tornou os patches públicos. Isso foi 24 horas antes do planejado originalmente.
A Fundação explicou que os distribuidores ainda estavam empacotando a correção, então lançá-la mais cedo deixaria muitos usuários sem uma maneira fácil de atualizar. “Adiar o lançamento em um dia foi o melhor compromisso entre agir rapidamente, dar tempo às pessoas para se prepararem e garantir que todos tivessem um caminho de atualização simples quando as vulnerabilidades fossem divulgadas.”
O CEO da Chainguard, Dan Lorenc, respondeu às críticas da Fundação, dizendo que seguiu as diretrizes do processo de divulgação para divulgação após descobrir evidências de explorações ativas. “Essa decisão foi baseada na facilidade com que fomos capazes de descobrir a vulnerabilidade de forma independente e construir uma exploração, na quantidade de informações já existentes sobre as vulnerabilidades e correções futuras e nas evidências compartilhadas sobre explorações ativas em estado selvagem”, escreveu ele em um post no LinkedIn.
Na verdade, o CEO da Cloudflare, Matthew Prince, disse que sua empresa viu “milhares” de tentativas de explorar o PHP2Shell 10 horas antes do anúncio público. O número saltou para “dezenas de milhares 45 minutos após o anúncio, centenas de milhares em duas horas e milhões agora”, disse ele.
E a AWS afirma que pelo menos uma tentativa de exploração ocorreu quatro dias antes da divulgação pública, em 17 de outubro. Esta tentativa originou-se de um endereço IP associado a uma rede comercial de anonimato, de acordo com o CISO CJ Moses da AWS, indicando que foi conduzida por um ator de ameaça, “embora ainda não esteja claro como o ator adquiriu informações de exploração antes da divulgação”.
Manter segredos é difícil, mas ainda é o modelo certo
Embora pareça ter havido vários vazamentos, isso não desculpa Chainguard, disse Dickson. A empresa recebeu a correção antecipadamente por um motivo, e publicá-la antecipadamente deu aos invasores uma solução para estudar enquanto todos os outros usuários de PHP esperavam.
“Um embargo protege os defensores apenas até que alguém encontre o mesmo bug”, disse ele, acrescentando que quanto mais tempo uma correção fica na fila, menor fica a janela de proteção. “Cada grupo que recebe o patch antecipadamente é mais uma forma de o segredo escapar.”
Dito isto, a divulgação coordenada ainda é o modelo certo; só precisa funcionar com mais força, disse ele. Isso significa janelas mais curtas, menos destinatários iniciais e uma compreensão clara de que a solução em si é o segredo. “Um patch é um mapa do tesouro”, observou ele.
Em última análise, “guardar segredos é difícil”, disse David Shipley, CEO da Beauceron Security. “Quanto mais pessoas souberem, quanto maior o prazo, maior a probabilidade de algo vazar.”
Isso é um grande problema agora, observou ele, porque com agentes de IA e um pouco de conhecimento de como funciona uma falha, “você pode apontar uma ferramenta para o software e descobrir”.
Responsabilidade na era da IA
O efeito do PHP2Shell será sentido durante anos, assim como o do Log4J, disse Shipley. Depois de aparecer nas maiores presenças online, ele chegará aos dispositivos IoT e outros.
Os defensores devem conhecer seu patrimônio e dependências de software; uma lista de materiais de software (SBOM) pode ajudar nisso. “Não é uma solução fácil, mas é o simples trabalho árduo da TI e da cibersegurança que pode fazer ou quebrar a resposta”, disse Shipley.
As empresas também precisam de responsabilidade do fabricante do produto e do fornecedor de ferramentas de IA. “A vulnerabilidade não é causada pela IA”, disse ele. Há décadas, os incentivos do mercado têm sido para enviá-lo e consertá-lo, agir rapidamente e quebrar coisas.
As empresas que priorizaram o transporte marítimo de forma mais lenta, mas mais segura, foram atacadas no mercado por empresas que não o fizeram e “lançaram produtos novos e brilhantes enquanto construíam tecnologia e dívida de segurança”, disse Shipley. Os incentivos precisam mudar, especialmente na era da IA.
E, aconselhou Dickson, as equipes de segurança devem entender onde reside cada tempo de execução, incluindo aqueles de fornecedores internos. Decida antecipadamente quem tem autoridade para colocar um serviço offline, para que a chamada seja “feita com calma e não discutida durante uma crise”. Invista em detecções baseadas em comportamento, como execução inesperada de processos ou novos arquivos em um servidor web, porque uma assinatura para um CVE específico não existirá no dia zero.
“Chainguard se adiantou, mas a corrida já havia começado”, disse Dickson. “Ainda vale a pena manter os embargos. Mas os CISOs deveriam planejar o início da exploração antes do aconselhamento, porque agora isso acontece.”
