Se você tem acompanhado as notícias de tecnologia, é provável que tenha ouvido falar de um terremoto que abalou a internet nos últimos dois dias. Talvez tenha apenas se deparado com dois códigos estranhos: CVE-2026-109618 e CVE-2026-109619, já apelidados informalmente de “PHP2Shell”. Duas vulnerabilidades que levaram várias organizações a suspender seus serviços por precaução.
Não se tratou de um pequeno bug em um site qualquer, mas de duas vulnerabilidades críticas que ficaram adormecidas por mais de uma década, desde 2011/2012, no coração do PHP, a linguagem e o motor que servem de base para grande parte dos sites da internet, de blogs em WordPress a plataformas de e-commerce.
Queremos compartilhar com você o que aconteceu, como respondemos e o que esse episódio nos mostra sobre o futuro da segurança digital.
Para quem não é da área de programação: afinal, o que é o “PHP2Shell”?
Para entender a gravidade disso sem precisar de um curso de engenharia de software, pense no PHP como o motor de um carro e na internet como uma rodovia.
Há cerca de 15 anos, os criadores do PHP adicionaram um recurso chamado session.upload_progress, cujo objetivo era simples: quando um usuário envia um arquivo pesado, como uma foto ou um vídeo, por meio de um formulário web, o servidor calcula a porcentagem do envio para poder mostrar aquela clássica barra de progresso: 20%, 50%, 100%.
O problema? No código interno em C, a linguagem que constrói o próprio motor do PHP, havia uma falha sutil na forma como a memória era liberada quando ocorria um erro.
Se um invasor enviasse uma requisição web propositalmente malformada, com milhares de cabeçalhos falsos ou dados desorganizados, o servidor podia esgotar a memória e entrar em um estado chamado Out of Memory.
Em vez de fechar a porta e trancar tudo de forma segura, o motor deixava referências de memória “fantasmas” soltas e perdidas. Em uma segunda requisição, o invasor podia aproveitar esse espaço de memória para inserir suas próprias instruções.
O resultado prático? O que em segurança se chama RCE, ou execução remota de código: o invasor ganha a capacidade de executar comandos no servidor com as permissões do processo afetado.
Um simples formulário web público podia se transformar em uma porta de entrada para controlar um servidor.
Por que isso só foi descoberto 15 anos depois?
Essa é uma das partes mais fascinantes e preocupantes desse episódio.
O código do PHP é open source. Está disponível publicamente há décadas. Ao longo de 15 anos, aquelas linhas passaram por revisões, auditorias e testes de segurança sem que essas falhas fossem identificadas.
O que mudou? A inteligência artificial e o poder computacional colocado a serviço da análise de código estão ampliando a capacidade de encontrar problemas que antes exigiam muito mais tempo e trabalho humano.
Modelos de linguagem avançados, combinados com ferramentas automáticas de análise de código e fuzzing, que testa programas com grandes volumes de dados inesperados ou malformados, permitem explorar comportamentos complexos em uma escala diferente.
A IA está acelerando a leitura, a análise e a correlação de fluxos de execução. Isso ajuda quem protege os sistemas, mas também pode dar mais capacidade a quem tenta atacá-los.
Uma mudança de paradigma: código fechado não garante segurança
Durante décadas, parte da indústria se apoiou em uma ideia confortável: a chamada security through obscurity, ou segurança por obscuridade.
A lógica era simples: “Se o nosso código estiver fechado ou compilado, os invasores vão ter mais dificuldade para entender como ele funciona.”
Mas um programa compilado ou de código fechado, por si só, não é garantia de proteção. As ferramentas de análise e engenharia reversa continuam evoluindo, e a IA está acelerando esse processo.
Já não podemos supor que algo é seguro apenas porque sempre funcionou da mesma forma.
A segurança exige várias camadas de proteção, uma arquitetura resiliente, monitoramento ativo e a capacidade de responder rapidamente quando surge uma nova ameaça.
Como a E-goi respondeu?
Assim que o alerta internacional foi emitido, nossa equipe de Engenharia e Segurança entrou em ação.
A prioridade foi clara: proteger os serviços e os dados dos nossos clientes, mantendo a operação funcionando.
A resposta combinou mitigação imediata, reforço dos filtros de entrada, aplicação de correções e auditoria da infraestrutura.
Nossa resposta nas primeiras 24 horas
- 21 de outubro: avaliação dos serviços e servidores potencialmente afetados.
- 21 de outubro, à tarde: desativação preventiva do recurso vulnerável, sem indisponibilidade dos serviços.
- 21 de outubro, à tarde: reforço dos filtros de entrada para bloquear requisições malformadas antes que chegassem às aplicações.
- 21 de outubro, à noite: aplicação das atualizações de segurança disponibilizadas.
- 22 de outubro, pela manhã: testes para verificar a eficácia das medidas e auditoria de 369 servidores.
- 22 de outubro, ao longo do dia: continuidade da aplicação das correções e da verificação dos serviços.
Mitigação imediata sem parar o negócio
Antes de atualizar toda a infraestrutura, aplicamos uma medida preventiva: desativamos o recurso vulnerável e recarregamos os serviços de forma controlada.
Nossos clientes continuaram enviando campanhas sem interrupções causadas por essa intervenção.
Proteção logo na entrada
Reforçamos os filtros nos pontos de entrada da infraestrutura para bloquear requisições anômalas.
Se uma requisição com milhares de cabeçalhos falsos tentasse entrar, era barrada antes de chegar aos servidores de aplicação.
Auditoria e busca por sinais de invasão
Durante esse processo, auditamos os servidores e os demais componentes da infraestrutura. Cruzamos logs e procuramos arquivos suspeitos, conexões anômalas e outros sinais de invasão.
A auditoria realizada não encontrou nenhum problema, como esperado.
O que esse episódio mostra sobre transparência
Quando uma vulnerabilidade dessa dimensão se torna pública, avaliar o impacto pode levar tempo. As organizações precisam identificar os sistemas afetados, aplicar medidas de proteção e investigar possíveis sinais de exploração.
Na E-goi, acreditamos na transparência, no rigor técnico e na responsabilidade de proteger os dados e a confiança dos nossos clientes todos os dias.
Ter uma equipe capaz de acompanhar os acontecimentos, avaliar o risco e aplicar medidas de proteção nas primeiras horas após um alerta é essencial para responder a situações como essa.
O que você pode fazer para proteger suas contas e seu negócio?
Os momentos de maior atenção da mídia também podem ser aproveitados para tentativas de phishing e engenharia social. Um e-mail que parece ser um alerta de segurança pode, na verdade, ser a própria armadilha.
Por isso, deixamos algumas recomendações práticas:
- Revise a segurança das suas senhas: se alguma for fraca, reutilizada ou houver suspeita de exposição, troque-a. Um gerenciador de senhas pode ajudar a criar e armazenar credenciais fortes.
- Nunca reutilize senhas: a senha do seu e-mail não deve ser a mesma que você usa nas redes sociais ou em uma loja virtual. Se um desses serviços for comprometido, as demais contas podem ficar em risco.
- Ative a autenticação em dois fatores: sempre que possível, use um aplicativo de autenticação ou configure passkeys, quando disponíveis.
- Redobre a atenção com e-mails e links suspeitos: se receber um e-mail pedindo uma troca urgente de senha, avisando que a conta vai expirar ou solicitando a abertura de anexos inesperados, pare e confirme a origem. Acesse o serviço pelo endereço de sempre.
- Mantenha seus dispositivos atualizados: instale as atualizações de segurança do sistema operacional, do navegador e dos aplicativos que você usa.
A segurança é um trabalho diário
A segurança da informação exige atenção, melhoria contínua e trabalho em equipe.
A inteligência artificial está dando novas capacidades a quem desenvolve e protege tecnologia, mas também a quem tenta explorar suas falhas. A capacidade de detectar, corrigir e responder precisa acompanhar essa evolução.
Na E-goi, seguimos atentos e trabalhando para proteger os serviços, os dados e a confiança de quem conta com a gente.
Chief Information Security Officer & Senior SysAdmin na E-goi