Fri, 23 Oct 2026 07:07:42 +0000 pt-BR hourly 1 https://blog.e-goi.com/wp-content/uploads/2018/02/favicon-egoi-512x512-200x200-100x100.png 32 32 https://blog.e-goi.com/br/php2shell-vulnerabilidades-resposta-egoi/ https://blog.e-goi.com/br/php2shell-vulnerabilidades-resposta-egoi/#respond Tiago Guedes Fri, 23 Oct 2026 07:07:25 +0000 Segurança https://blog.e-goi.com/?p=64532 Se você tem acompanhado as notícias de tecnologia, é provável que tenha ouvido falar de um terremoto que abalou a internet nos últimos dois dias. Talvez tenha apenas se deparado com dois códigos estranhos: CVE-2026-109618 e CVE-2026-109619, já apelidados informalmente de “PHP2Shell”. Duas vulnerabilidades que levaram várias organizações a suspender seus serviços por precaução. <p class="wp-block-paragraph">Não se tratou de um pequeno bug em um site qualquer, mas de duas vulnerabilidades críticas que ficaram adormecidas por mais de uma década, desde 2011/2012, no coração do PHP, a linguagem e o motor que servem de base para grande parte dos sites da internet, de blogs em WordPress a plataformas de e-commerce.</p> <p class="wp-block-paragraph">Queremos compartilhar com você o que aconteceu, como respondemos e o que esse episódio nos mostra sobre o futuro da segurança digital.</p> <h2 id="h-para-quem-nao-e-da-area-de-programacao-afinal-o-que-e-o-php2shell" class="wp-block-heading"><strong>Para quem não é da área de programação: afinal, o que é o “PHP2Shell”?</strong></h2> <p class="wp-block-paragraph">Para entender a gravidade disso sem precisar de um curso de engenharia de software, pense no PHP como o motor de um carro e na internet como uma rodovia.</p> <p class="wp-block-paragraph">Há cerca de 15 anos, os criadores do PHP adicionaram um recurso chamado <em>session.upload_progress</em>, cujo objetivo era simples: quando um usuário envia um arquivo pesado, como uma foto ou um vídeo, por meio de um formulário web, o servidor calcula a porcentagem do envio para poder mostrar aquela clássica barra de progresso: 20%, 50%, 100%.</p> <p class="wp-block-paragraph">O problema? No código interno em C, a linguagem que constrói o próprio motor do PHP, havia uma falha sutil na forma como a memória era liberada quando ocorria um erro.</p> <p class="wp-block-paragraph">Se um invasor enviasse uma requisição web propositalmente malformada, com milhares de cabeçalhos falsos ou dados desorganizados, o servidor podia esgotar a memória e entrar em um estado chamado <em>Out of Memory</em>.</p> <p class="wp-block-paragraph">Em vez de fechar a porta e trancar tudo de forma segura, o motor deixava referências de memória “fantasmas” soltas e perdidas. Em uma segunda requisição, o invasor podia aproveitar esse espaço de memória para inserir suas próprias instruções.</p> <p class="wp-block-paragraph">O resultado prático? O que em segurança se chama <strong>RCE, ou execução remota de código</strong>: o invasor ganha a capacidade de executar comandos no servidor com as permissões do processo afetado.</p> <p class="wp-block-paragraph">Um simples formulário web público podia se transformar em uma porta de entrada para controlar um servidor.</p> <h2 id="h-por-que-isso-so-foi-descoberto-15-anos-depois" class="wp-block-heading"><strong>Por que isso só foi descoberto 15 anos depois?</strong></h2> <p class="wp-block-paragraph">Essa é uma das partes mais fascinantes e preocupantes desse episódio.</p> <p class="wp-block-paragraph">O código do PHP é <em>open source</em>. Está disponível publicamente há décadas. Ao longo de 15 anos, aquelas linhas passaram por revisões, auditorias e testes de segurança sem que essas falhas fossem identificadas.</p> <p class="wp-block-paragraph">O que mudou? A inteligência artificial e o poder computacional colocado a serviço da análise de código estão ampliando a capacidade de encontrar problemas que antes exigiam muito mais tempo e trabalho humano.</p> <p class="wp-block-paragraph">Modelos de linguagem avançados, combinados com ferramentas automáticas de análise de código e <em>fuzzing</em>, que testa programas com grandes volumes de dados inesperados ou malformados, permitem explorar comportamentos complexos em uma escala diferente.</p> <p class="wp-block-paragraph">A IA está acelerando a leitura, a análise e a correlação de fluxos de execução. Isso ajuda quem protege os sistemas, mas também pode dar mais capacidade a quem tenta atacá-los.</p> <h2 id="h-uma-mudanca-de-paradigma-codigo-fechado-nao-garante-seguranca" class="wp-block-heading"><strong>Uma mudança de paradigma: código fechado não garante segurança</strong></h2> <p class="wp-block-paragraph">Durante décadas, parte da indústria se apoiou em uma ideia confortável: a chamada <em>security through obscurity</em>, ou segurança por obscuridade.</p> <p class="wp-block-paragraph">A lógica era simples: “Se o nosso código estiver fechado ou compilado, os invasores vão ter mais dificuldade para entender como ele funciona.”</p> <p class="wp-block-paragraph">Mas um programa compilado ou de código fechado, por si só, não é garantia de proteção. As ferramentas de análise e engenharia reversa continuam evoluindo, e a IA está acelerando esse processo.</p> <p class="wp-block-paragraph">Já não podemos supor que algo é seguro apenas porque sempre funcionou da mesma forma.</p> <p class="wp-block-paragraph">A segurança exige várias camadas de proteção, uma arquitetura resiliente, monitoramento ativo e a capacidade de responder rapidamente quando surge uma nova ameaça.</p> <h2 id="h-como-a-e-goi-respondeu" class="wp-block-heading"><strong>Como a E-goi respondeu?</strong></h2> <p class="wp-block-paragraph">Assim que o alerta internacional foi emitido, nossa equipe de Engenharia e Segurança entrou em ação.</p> <p class="wp-block-paragraph">A prioridade foi clara: <strong>proteger os serviços e os dados dos nossos clientes, mantendo a operação funcionando.</strong></p> <p class="wp-block-paragraph">A resposta combinou mitigação imediata, reforço dos filtros de entrada, aplicação de correções e auditoria da infraestrutura.</p> <h4 id="h-nossa-resposta-nas-primeiras-24-horas" class="wp-block-heading">Nossa resposta nas primeiras 24 horas</h4> <ul class="wp-block-list"> <li><strong>21 de outubro:</strong> avaliação dos serviços e servidores potencialmente afetados.</li> <li><strong>21 de outubro, à tarde:</strong> desativação preventiva do recurso vulnerável, sem indisponibilidade dos serviços.</li> <li><strong>21 de outubro, à tarde:</strong> reforço dos filtros de entrada para bloquear requisições malformadas antes que chegassem às aplicações.</li> <li><strong>21 de outubro, à noite:</strong> aplicação das atualizações de segurança disponibilizadas.</li> <li><strong>22 de outubro, pela manhã:</strong> testes para verificar a eficácia das medidas e auditoria de 369 servidores.</li> <li><strong>22 de outubro, ao longo do dia:</strong> continuidade da aplicação das correções e da verificação dos serviços.</li> </ul> <h4 id="h-mitigacao-imediata-sem-parar-o-negocio" class="wp-block-heading">Mitigação imediata sem parar o negócio</h4> <p class="wp-block-paragraph">Antes de atualizar toda a infraestrutura, aplicamos uma medida preventiva: desativamos o recurso vulnerável e recarregamos os serviços de forma controlada.</p> <p class="wp-block-paragraph">Nossos clientes continuaram enviando campanhas sem interrupções causadas por essa intervenção.</p> <h4 id="h-protecao-logo-na-entrada" class="wp-block-heading">Proteção logo na entrada</h4> <p class="wp-block-paragraph">Reforçamos os filtros nos pontos de entrada da infraestrutura para bloquear requisições anômalas.</p> <p class="wp-block-paragraph">Se uma requisição com milhares de cabeçalhos falsos tentasse entrar, era barrada antes de chegar aos servidores de aplicação.</p> <h4 id="h-auditoria-e-busca-por-sinais-de-invasao" class="wp-block-heading">Auditoria e busca por sinais de invasão</h4> <p class="wp-block-paragraph">Durante esse processo, auditamos os servidores e os demais componentes da infraestrutura. Cruzamos logs e procuramos arquivos suspeitos, conexões anômalas e outros sinais de invasão.</p> <p class="wp-block-paragraph"><strong>A auditoria realizada não encontrou nenhum problema, como esperado.</strong></p> <h2 id="h-o-que-esse-episodio-mostra-sobre-transparencia" class="wp-block-heading"><strong>O que esse episódio mostra sobre transparência</strong></h2> <p class="wp-block-paragraph">Quando uma vulnerabilidade dessa dimensão se torna pública, avaliar o impacto pode levar tempo. As organizações precisam identificar os sistemas afetados, aplicar medidas de proteção e investigar possíveis sinais de exploração.</p> <p class="wp-block-paragraph">Na E-goi, acreditamos na transparência, no rigor técnico e na responsabilidade de proteger os dados e a confiança dos nossos clientes todos os dias.</p> <p class="wp-block-paragraph">Ter uma equipe capaz de acompanhar os acontecimentos, avaliar o risco e aplicar medidas de proteção nas primeiras horas após um alerta é essencial para responder a situações como essa.</p> <h2 id="h-o-que-voce-pode-fazer-para-proteger-suas-contas-e-seu-negocio" class="wp-block-heading"><strong>O que você pode fazer para proteger suas contas e seu negócio?</strong></h2> <p class="wp-block-paragraph">Os momentos de maior atenção da mídia também podem ser aproveitados para tentativas de phishing e engenharia social. Um e-mail que parece ser um alerta de segurança pode, na verdade, ser a própria armadilha.</p> <p class="wp-block-paragraph">Por isso, deixamos algumas recomendações práticas:</p> <ul class="wp-block-list"> <li><strong>Revise a segurança das suas senhas:</strong> se alguma for fraca, reutilizada ou houver suspeita de exposição, troque-a. Um gerenciador de senhas pode ajudar a criar e armazenar credenciais fortes.</li> <li><strong>Nunca reutilize senhas:</strong> a senha do seu e-mail não deve ser a mesma que você usa nas redes sociais ou em uma loja virtual. Se um desses serviços for comprometido, as demais contas podem ficar em risco.</li> <li><strong>Ative a autenticação em dois fatores:</strong> sempre que possível, use um aplicativo de autenticação ou configure <em>passkeys</em>, quando disponíveis.</li> <li><strong>Redobre a atenção com e-mails e links suspeitos:</strong> se receber um e-mail pedindo uma troca urgente de senha, avisando que a conta vai expirar ou solicitando a abertura de anexos inesperados, pare e confirme a origem. Acesse o serviço pelo endereço de sempre.</li> <li><strong>Mantenha seus dispositivos atualizados:</strong> instale as atualizações de segurança do sistema operacional, do navegador e dos aplicativos que você usa.</li> </ul> <h2 id="h-a-seguranca-e-um-trabalho-diario" class="wp-block-heading"><strong>A segurança é um trabalho diário</strong></h2> <p class="wp-block-paragraph">A segurança da informação exige atenção, melhoria contínua e trabalho em equipe.</p> <p class="wp-block-paragraph">A inteligência artificial está dando novas capacidades a quem desenvolve e protege tecnologia, mas também a quem tenta explorar suas falhas. A capacidade de detectar, corrigir e responder precisa acompanhar essa evolução.</p> <p class="wp-block-paragraph">Na E-goi, seguimos atentos e trabalhando para proteger os serviços, os dados e a confiança de quem conta com a gente.</p> <div class="saboxplugin-wrap" itemtype="http://schema.org/Person" itemscope itemprop="author"><div class="saboxplugin-tab"><div class="saboxplugin-gravatar"><img decoding="async" src="https://blog.e-goi.com/wp-content/uploads/2023/06/avatar-100x100.jpg" width="100" height="100" srcset="https://blog.e-goi.com/wp-content/uploads/2023/06/avatar-200x200.jpg 2x" alt="Tiago Guedes" class="avatar avatar-100 wp-user-avatar wp-user-avatar-100 alignnone photo" /></div><div class="saboxplugin-authorname"><a href="https://blog.e-goi.com/br/author/tguedes/" class="vcard author" rel="author"><span class="fn">Tiago Guedes</span></a></div><div class="saboxplugin-desc"><div itemprop="description"><p>Chief Information Security Officer &amp; Senior SysAdmin na E-goi</p> </div></div><div class="clearfix"></div></div></div> https://blog.e-goi.com/br/php2shell-vulnerabilidades-resposta-egoi/feed/ 0