Hackers exploram PHP2Shell e invadem órgão governamental europeu

Hackers exploraram vulnerabilidades críticas do PHP2Shell para comprometer uma entidade governamental na Europa, acessar hashes de senhas e segredos de autenticação multifator (MFA) em menos de duas horas. A investigação da Palo Alto Networks Unit 42 identificou indícios de utilização de inteligência artificial agêntica nas atividades realizadas após a invasão.

As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, permitem execução remota de código (RCE) em determinadas configurações do PHP. Desde sua divulgação, as falhas têm sido alvo de campanhas de varredura e tentativas de exploração em escala global.

Ataque a órgão europeu apresenta sinais de automação com IA

Segundo a Unit 42, os invasores conseguiram acessar informações sensíveis de autenticação e estabelecer um túnel de retransmissão NTLM (NT LAN Manager) para alcançar o Active Directory, sistema utilizado para gerenciar identidades e permissões em redes corporativas. Também tentaram elevar seus privilégios ao nível de administrador de domínio (Domain Admin).

A análise identificou comandos e padrões de comportamento compatíveis com operações conduzidas por agentes de IA, incluindo reconhecimento automatizado de sistemas e coleta estruturada de informações.

Entre as atividades observadas estavam a investigação de bancos de dados de autenticação utilizando credenciais roubadas, buscas por hashes de senhas e segredos de autenticação de dois fatores (2FA), além de consultas LDAP anônimas ao controlador de domínio para localizar contas administrativas.

Os invasores também procuraram informações sobre servidores internos, integração entre DNS e Active Directory, grupos privilegiados e usuários conectados.

Um dos principais indícios de automação foi a organização das respostas dos comandos por delimitadores como ==SHELLUSER== e ==PASSWD==. Segundo a Unit 42, esse formato facilita a interpretação automática dos resultados por modelos de inteligência artificial.

Embora os indicadores sugiram o uso de IA agêntica, a identidade dos responsáveis pelo ataque permanece desconhecida.

Campanha suspeita da Coreia do Norte monitora 216 servidores

Paralelamente, a empresa de segurança CYFIRMA identificou uma campanha suspeita de ligação com a Coreia do Norte que utiliza o PHP2Shell para investigar infraestruturas vulneráveis em diferentes países.

A operação envolve 21 nós comprometidos utilizados para monitorar 216 servidores sem correção ou com medidas de mitigação incompletas.

Os alvos estão distribuídos pelos Estados Unidos, Japão, Coreia do Sul, Tailândia, Indonésia, Austrália, Taiwan, Índia, Singapura, Emirados Árabes Unidos, Arábia Saudita e União Europeia.

Entre os setores monitorados estão órgãos governamentais, instituições financeiras, logística, aeroportos, aviação, indústria e plataformas de transações online.

De acordo com Kumar Ritesh, CEO e fundador da CYFIRMA, os operadores utilizam uma estratégia de varredura lenta e de baixo volume, alternando os nós de origem e abandonando conexões quando identificam bloqueios ou limitações de requisições. Essa abordagem dificulta a identificação por mecanismos de detecção baseados em limites de tráfego.

A campanha é coordenada por meio de um canal fechado na rede anônima I2P. A CYFIRMA atribui a atividade, com confiança moderada, a operadores que falam coreano e possivelmente integram o ecossistema do grupo hacker Lazarus.

Dois identificadores encontrados no canal, 전창혁 2 (Jeon Chang-hyuk 2) e 최아린 (Choi A-rin), já teriam sido associados a operações clandestinas. A investigação também identificou características linguísticas do padrão norte-coreano Munhwaŏ, diferentes do coreano utilizado na Coreia do Sul.

Outros elementos que sustentam a possível ligação com o Lazarus incluem infraestrutura de comando e controle (C2) anteriormente utilizada pelo grupo, histórico de comprometimento de servidores PHP e WordPress e operações como a campanha SyncHole, que empregou servidores comprometidos e web shells.

A priorização de instituições financeiras e órgãos governamentais também corresponde ao histórico do Lazarus, conhecido por operações de espionagem e roubos financeiros, incluindo criptomoedas.

Segundo a CYFIRMA, os operadores pretendiam selecionar os alvos mais promissores e adaptar exploits públicos para possíveis ataques posteriores. A investigação não confirma que todos os 216 servidores tenham sido comprometidos.

Milhões de tentativas de exploração são registradas

A expansão das atividades relacionadas ao PHP2Shell também foi observada por outras empresas de segurança.

Em 25 de outubro de 2026, a Defused Cyber informou ter identificado sondagens direcionadas a honeypots que simulam dispositivos Palo Alto Networks GlobalProtect.

As requisições partiram do endereço IP 204.76.203[.]7, associado a atividades de exploração em massa, e continham o marcador PHP_SESSION_UPLOAD_PROGRESS com o identificador p2s-rider.

Os pedidos incluíam uploads fictícios sem payload malicioso, sugerindo que os responsáveis estavam verificando comportamentos vulneráveis para construir uma lista de possíveis alvos.

A Cloudflare, por sua vez, informou ter detectado milhões de tentativas de exploração desde a divulgação pública das vulnerabilidades.

Exploração envolve manipulação de memória do PHP

A Datadog explicou que a exploração das falhas depende de condições específicas de gerenciamento de memória.

Os invasores precisam construir requisições capazes de provocar falhas de alocação em momentos determinados e superar a proteção ASLR (Address Space Layout Randomization), utilizada para dificultar a previsão dos endereços de memória.

O ataque explora o processamento de nomes de campos em formulários HTTP. Durante essa operação, o PHP realiza cópias dos dados, aumentando o consumo de memória e permitindo que entradas especialmente manipuladas provoquem falhas de alocação e corrupção de memória.

Em testes publicados em 22 de outubro, a ReliaQuest conseguiu reproduzir a CVE-2026-109618 em laboratório e identificou uma sequência de eventos que pode auxiliar na detecção.

Os indicadores incluem requisições HTTP POST que retornam erro 500, mensagens de esgotamento de memória e corrupção de heap nos logs do PHP, seguidas pela falha do processo Apache responsável pela requisição.

Terceira vulnerabilidade amplia atenção sobre o PHP

Além das duas falhas originais do PHP2Shell, a PHP Foundation alertou sobre uma terceira vulnerabilidade de execução remota de código, identificada como CVE-2026-115560.

Diferentemente das anteriores, essa falha depende de uma combinação incomum de configurações e comportamentos da aplicação.

Para que seja explorável, a aplicação precisa configurar session.serialize_handler como php_binary ou php_serialize, alterar esse parâmetro para php durante a execução por meio de ini_set() e posteriormente chamar session_start(). O recurso de acompanhamento de progresso de uploads também precisa estar habilitado.

Segundo a PHP Foundation, aplicações que não alteram dinamicamente esse mecanismo de serialização não precisam desabilitar o recurso por causa dessa vulnerabilidade. A correção está prevista para o ciclo regular de atualizações.

A empresa Xint também disponibilizou um scanner para identificar servidores potencialmente expostos ao PHP2Shell. A ferramenta considera cenários em que a execução remota de código pode ocorrer independentemente da lógica da aplicação, inclusive em operações envolvendo session_start() e unserialize().

Quase 37 milhões de sistemas utilizam PHP na internet

Levantamentos da Bitsight identificaram aproximadamente 37 milhões de sistemas acessíveis pela internet executando PHP ou softwares relacionados, com maior concentração nos Estados Unidos, Alemanha, França, Países Baixos e Japão.

Esse número representa a presença da tecnologia na internet, não a quantidade de servidores comprovadamente vulneráveis ao PHP2Shell.

A Bitsight destacou que, como as vulnerabilidades afetam o próprio ambiente de execução do PHP, modificações no código das aplicações, atualizações de plugins ou a utilização de firewalls de aplicações web (WAF) não eliminam a causa do problema.

A correção efetiva das vulnerabilidades CVE-2026-109618 e CVE-2026-109619 exige a atualização do PHP instalado nos servidores para versões corrigidas.