Ataque PHP2Shell compromete 25 servidores e alcança rede ligada ao governo dos EUA
Uma campanha de exploração combinou vulnerabilidades em PHP e no kernel Linux para assumir o controle de 25 servidores, entre eles equipamentos de uma rede associada ao governo dos Estados Unidos. A análise da empresa de segurança Dream, divulgada em 26 de outubro de 2026, descreve uma operação que começou com acesso de baixo privilégio e terminou com permissões de administrador, conhecidas como root.
Os equipamentos afetados eram, em sua maioria, firewalls de perímetro: 24 dispositivos de um mesmo fabricante, cujo nome não foi informado. O 25º servidor era usado para gerenciar esses aparelhos. As máquinas estavam localizadas nos Estados Unidos, no Japão, em Taiwan e na Coreia do Sul. Três pertenciam ao ambiente ligado ao governo americano: dois firewalls e o servidor de gerenciamento.
A invasão se apoiou em uma cadeia de três falhas. As vulnerabilidades CVE-2026-109618 e CVE-2026-109619, associadas ao PHP2Shell, permitiam executar comandos remotamente com os privilégios limitados do serviço web. Em seguida, os invasores exploraram a CVE-2026-46300, chamada Fragnesia, para elevar o acesso até root. A falha está no subsistema de rede do kernel Linux e recebeu nota 7,8 em uma escala de gravidade de até 10.
A dimensão da busca por alvos também chama atenção. Segundo a Dream, os operadores identificaram cerca de 19 mil firewalls por meio do mecanismo chinês FOFA. Aproximadamente 5 mil respondiam pela internet. Após filtrar os equipamentos por país e versão do PHP, o grupo selecionou 240 para a tentativa de exploração em massa. Vinte e quatro foram comprometidos.
Em 22 dos servidores invadidos, foi instalado um webshell com privilégios de root. Esse tipo de ferramenta oferece ao invasor uma forma de executar comandos remotamente e manter acesso ao aparelho. A análise indica que, depois da instalação, os operadores não retornaram a esses 22 equipamentos.
O caso ligado ao governo teve um desenvolvimento mais amplo. Nesse ambiente, os invasores configuraram um túnel SSH reverso com oito portas, criando um caminho para alcançar controladores de domínio e sistemas de VPN. Depois, conseguiram decifrar a senha de uma conta de serviço LDAP e consultaram informações sobre usuários e grupos do Active Directory.
Com esses dados, os operadores realizaram uma tentativa de pulverização de senhas – técnica que testa poucas senhas comuns em várias contas, em vez de experimentar muitas combinações em um único usuário. Também tentaram criar contas clandestinas para facilitar futuras entradas. O relatório não detalha se essas tentativas tiveram sucesso.
A Dream não atribuiu a campanha a um grupo conhecido nem a um país. Entre os indícios que poderiam apontar para uma origem chinesa, a empresa cita a escolha dos alvos, o uso do FOFA, horários de atividade compatíveis com o fuso UTC+8 e instruções em chinês encontradas nos registros da plataforma ofensiva. Esses elementos, porém, não constituem uma confirmação de autoria.
A plataforma usada na operação tinha o Claude Code instalado e os modelos DeepSeek e Kimi configurados. Ainda assim, a análise não encontrou provas diretas de que ferramentas de inteligência artificial tenham produzido o exploit. A presença desses recursos, por si só, não permite concluir que tenham participado da criação ou execução do ataque.
As duas falhas do PHP2Shell foram incluídas no catálogo da agência americana CISA em 26 de outubro, com prazo de correção até 29 de outubro para órgãos federais dos Estados Unidos. Já a correção para a vulnerabilidade do kernel havia sido disponibilizada em maio. A diferença entre as datas reforça que a aplicação de atualizações precisa considerar todas as camadas do equipamento, e não apenas os componentes mais visíveis.
Um desafio específico está no firmware de dispositivos de rede. Os firewalls examinados executavam versões do PHP – 8.0.30 e 7.4.33 – incorporadas ao próprio firmware. Como esses componentes podem não aparecer nos inventários tradicionais de softwares instalados, uma organização pode acreditar que está atualizada sem perceber que o aparelho ainda contém uma versão vulnerável.
A primeira medida recomendada para equipes responsáveis por firewalls é verificar se a interface de administração está acessível pela internet. De acordo com a Dream, a exposição dessa interface foi o ponto que permitiu o acesso inicial ao domínio. Sempre que possível, o gerenciamento deve ser restrito a redes internas, VPNs ou endereços previamente autorizados.
Também é importante consultar o fabricante para identificar quais versões de firmware corrigem as falhas e aplicar as atualizações disponíveis. Em dispositivos que não recebem mais suporte, a substituição pode ser necessária. A correção do sistema operacional ou de servidores adjacentes não resolve automaticamente vulnerabilidades presentes em um firmware embarcado.
Depois de atualizar os equipamentos, as organizações devem procurar sinais de comprometimento. Entre as verificações prioritárias estão a busca por webshells, contas de administração desconhecidas, túneis SSH, alterações inesperadas na configuração do firewall e conexões incomuns com controladores de domínio ou serviços de VPN. A revisão dos registros pode ajudar a reconstruir a sequência de ações dos invasores.
Senhas de contas de serviço e credenciais com acesso a LDAP, Active Directory e sistemas de rede também devem ser trocadas caso haja suspeita de exposição. É recomendável limitar os privilégios dessas contas ao mínimo necessário e habilitar autenticação multifator onde houver suporte, especialmente para acessos administrativos remotos.
Por fim, a campanha mostra por que firewalls e outros dispositivos de borda precisam ser tratados como servidores críticos. Eles recebem conexões externas, podem conter componentes de software desatualizados e, quando comprometidos, funcionam como ponto de entrada para áreas internas da organização. Inventário atualizado, administração não exposta e monitoramento contínuo reduzem o risco de que uma falha em um aparelho de perímetro se transforme em uma invasão de toda a rede.