Segundo a Kaspersky, duas vulnerabilidades críticas identificadas no PHP acenderam um alerta para a segurança digital de usuários e empresas. Divulgadas em outubro de 2026, as falhas CVE-2026-109618 e CVE-2026-109619 permitem que invasores executem comandos remotamente em servidores vulneráveis, sem precisar fazer login. A exploração recebeu o nome de PHP2Shell.
O risco vai muito além dos administradores de sites. Como o PHP é utilizado em uma grande parcela da internet, as falhas podem colocar em perigo dados pessoais, fotografias, documentos, contas de jogos e até sistemas de segurança residencial, dependendo da configuração dos dispositivos e das versões utilizadas.
A equipe responsável pelo PHP anunciou uma atualização emergencial em 20 de outubro e disponibilizou correções no dia seguinte. Mesmo assim, equipamentos e serviços que ainda não receberam os patches continuam exigindo atenção.
Como as falhas do PHP podem afetar usuários comuns?
O principal perigo está na possibilidade de um invasor explorar um servidor vulnerável para obter acesso a informações e funcionalidades que deveriam permanecer protegidas.
Entre as consequências possíveis estão:
-
Roubo de contas e informações pessoais: tokens de autenticação armazenados na memória do servidor podem ser comprometidos, permitindo que invasores tentem acessar contas sem informar a senha ou o código de autenticação de dois fatores.
-
Perda de arquivos pessoais: dispositivos de armazenamento conectados à rede, conhecidos como NAS, podem ficar expostos a ataques que copiam, apagam ou criptografam arquivos.
-
Golpes e infecções por malware: sites legítimos comprometidos podem exibir páginas falsas de login e pagamento, distribuir arquivos maliciosos ou direcionar visitantes para campanhas de phishing.
Isso não significa que todos os sites que utilizam PHP estejam vulneráveis. O risco depende da versão instalada, da configuração do servidor e da aplicação das atualizações de segurança.
Sistemas de casa inteligente também podem ser afetados
As consequências podem atingir ambientes domésticos que utilizam interfaces web para controlar dispositivos conectados à internet.
Uma das plataformas mencionadas é o Jeedom, sistema de automação residencial utilizado para gerenciar iluminação, sensores, aquecimento, persianas e outros dispositivos de Internet das Coisas (IoT).
Segundo as informações divulgadas pelos desenvolvedores, a vulnerabilidade afeta o aplicativo. A versão 4.6.2 foi disponibilizada como atualização emergencial, mas os usuários precisam executar o procedimento de atualização duas vezes para que a correção funcione, conforme a orientação informada pela equipe.
Em um cenário de comprometimento, um invasor poderia tentar desativar alarmes, acessar imagens de sistemas de vídeo ou obter informações sobre os hábitos dos moradores, dependendo das permissões e dos recursos expostos.
NAS domésticos: QNAP, Synology e ASUSTOR confirmam impactos
Os sistemas NAS funcionam como uma espécie de nuvem particular, permitindo armazenar fotografias, documentos, vídeos e cópias de segurança em equipamentos conectados à rede doméstica.
Fabricantes como QNAP, Synology e ASUSTOR confirmaram problemas relacionados às vulnerabilidades em produtos ou componentes específicos. As medidas recomendadas variam de acordo com o fabricante e a versão instalada.
QNAP recomenda restringir o acesso à internet
A QNAP confirmou impactos em diferentes versões dos sistemas QTS e QuTS hero, além de aplicativos como QuMagie, Note Station 3 e determinadas versões do QVR Surveillance.
Um ataque bem-sucedido pode colocar em risco arquivos pessoais, anotações e gravações de câmeras.
Como as correções ainda estavam sendo preparadas no momento da publicação do material de origem, a recomendação era desconectar temporariamente o NAS da internet. Também é indicado desativar o redirecionamento de portas no roteador, impedir a abertura automática de portas e restringir o acesso ao painel de administração à rede local ou a uma VPN.
Synology disponibiliza correções para componentes afetados
A Synology confirmou vulnerabilidades nos pacotes PHP 7.3, 7.4 e 8.0 a 8.4, além do Mail Station e do Synology Calendar.
Segundo as informações divulgadas, foram disponibilizadas correções para componentes a partir do PHP 7.4, assim como para o Mail Station e o Synology Calendar. O PHP 7.3 não receberá correção.
A empresa também informou que o componente PHP integrado ao sistema operacional não pode ser acessado externamente, o que torna o risco de ataque muito baixo nesse caso específico.
ASUSTOR recomenda backup e atualização do PHP
A ASUSTOR também confirmou as vulnerabilidades e retirou do App Central os pacotes PHP 7, 7.3, 7.4 e 8.1.
A orientação é realizar imediatamente um backup dos dados, remover os pacotes antigos e utilizar o PHP 8.3 ou 8.4, conforme as recomendações de compatibilidade do fabricante.
Unraid recebe atualização de segurança
O sistema operacional Unraid foi atualizado para o PHP 8.4.27, versão que inclui as correções para as vulnerabilidades. Os desenvolvedores recomendaram a instalação do Unraid 7.3.4.
Há, porém, um detalhe importante: contêineres que possuem uma instalação própria do PHP precisam ser atualizados separadamente. A atualização do sistema operacional não corrige automaticamente todas as instalações independentes.
Nextcloud também exige atenção dos usuários
O Nextcloud é uma plataforma de armazenamento em nuvem que permite sincronizar arquivos, compartilhar documentos e gerenciar fotografias, calendários e contatos. Dependendo da configuração, os dados ficam em um servidor próprio ou em um NAS doméstico.
Para quem utiliza o Nextcloud All-in-One, a orientação divulgada é atualizar para a versão 14.4.1, que contém a correção mencionada no material de origem.
Em instalações diferentes, pode ser necessário atualizar manualmente o PHP no servidor ou dispositivo responsável pela plataforma.
Plataformas de jogos enfrentam interrupções
Os efeitos das vulnerabilidades também foram associados a serviços de videogames. Entre os títulos e serviços mencionados no material estão Final Fantasy XIV, Pokémon Champions, jogos da Bandai Namco Entertainment, Uma Musume: Pretty Derby, Granblue Fantasy e Shadowverse: Worlds Beyond.
O Nintendo Switch Online e as lojas Steam e GOG também foram citados entre os serviços afetados por interrupções ou medidas emergenciais.
Alguns desenvolvedores optaram por suspender temporariamente serviços para realizar atualizações e reduzir os riscos. O material também relata o encerramento definitivo de World Quest e Please Save My Pandemonium!, atribuído pelos respectivos desenvolvedores a dificuldades relacionadas à infraestrutura desatualizada e ao custo de correção.
Esses casos reforçam a importância de manter sistemas atualizados, embora a extensão do impacto varie de acordo com a infraestrutura de cada serviço.
Como proteger seus dados e dispositivos
Mesmo quem não administra um servidor pode adotar medidas para reduzir os riscos associados às vulnerabilidades.
1. Atualize os dispositivos e aplicativos. Consulte os canais oficiais dos fabricantes de NAS, sistemas de casa inteligente, servidores domésticos e plataformas de armazenamento. Instale as atualizações de segurança disponíveis.
2. Restrinja temporariamente o acesso à internet. Se o fabricante ainda não disponibilizou uma correção para o seu equipamento, considere desativar o acesso externo até que exista uma solução. Em dispositivos vulneráveis, essa medida pode reduzir a exposição a ataques remotos.
3. Utilize senhas exclusivas e fortes. Evite reutilizar a mesma senha em diferentes serviços. Um gerenciador de senhas pode ajudar a criar e armazenar credenciais difíceis de adivinhar.
4. Ative a autenticação de dois fatores. Sempre que disponível, habilite uma camada adicional de proteção nas contas importantes. Esse recurso não elimina todos os riscos, especialmente quando tokens de sessão são comprometidos, mas continua sendo uma medida relevante de segurança.
5. Verifique sessões e atividades suspeitas. Caso desconfie de um acesso indevido, confira os dispositivos conectados às suas contas, encerre sessões desconhecidas e altere as senhas a partir de um dispositivo confiável.
6. Mantenha cópias de segurança offline. Armazene cópias dos arquivos mais importantes em um disco externo ou outro dispositivo que não permaneça continuamente conectado à rede. Isso ajuda a reduzir os prejuízos em caso de exclusão, criptografia maliciosa ou comprometimento do armazenamento principal.
7. Desconfie de avisos e downloads inesperados. Um site legítimo pode ser comprometido e passar a exibir páginas falsas ou arquivos maliciosos. Evite instalar supostas atualizações oferecidas por pop-ups ou links suspeitos.
O que fazer agora?
As vulnerabilidades PHP2Shell demonstram como uma falha em um componente utilizado na infraestrutura de sites pode produzir consequências que chegam à casa dos usuários. O risco não se limita à navegação: também pode envolver arquivos pessoais, sistemas de vigilância, dispositivos conectados e contas digitais.
A prioridade é verificar se os equipamentos e serviços utilizados receberam as correções necessárias. Quando não houver atualização disponível, restringir o acesso externo e manter backups seguros são medidas importantes para reduzir a exposição.
Atenção: a existência dessas vulnerabilidades não significa que todos os sites, serviços ou dispositivos mencionados tenham sido invadidos. O risco depende das versões, das configurações e das medidas de proteção adotadas pelos responsáveis.
Imagem gerada por IA (ChatGPT)
