A agência de cibersegurança dos Estados Unidos, a CISA, ordenou aos órgãos do governo federal que corrijam em até três dias as vulnerabilidades críticas no PHP. O alerta chega menos de uma semana depois de os mantenedores do PHP lançarem os patches para as duas falhas, que permitem a um invasor assumir o controle remoto de um servidor vulnerável pela internet, sem precisar de senha. A gravidade do problema já havia levado governos e grandes empresas a tirar sites do ar para aplicar a correção antes mesmo da confirmação de exploração ativa.
A CISA não detalhou quem está por trás dos ataques. O aviso veio pouco depois de pesquisadores de segurança independentes relatarem evidências de que as falhas já estavam sendo usadas em ataques reais. As duas falhas foram batizadas de PHP2Shell. Elas foram descobertas há dois anos, mas a fundação sem fins lucrativos que mantém o PHP considerou que não havia forma prática de explorá-las, e os bugs ficaram sem correção.
Mas com o uso dos agentes IA, o cenário mudou e as falhas se tornaram alvos dos ataques. O PHP move cerca de 70% dos servidores voltados à internet. No Brasil, essa fatia aparece em WordPress (que sozinho já é boa parte da web nacional), em frameworks como Laravel e Symfony, em sistemas legados de bancos, varejo e setor público, e em boa parte dos painéis administrativos que rodam atrás de CDNs sem ninguém monitorar de perto.
A CISA emite ordens de correção (as chamadas Binding Operational Directives) apenas para agências civis do governo americano, mas o efeito prático vai além das fronteiras dos EUA: quando uma falha crítica de um software tão difundido passa de teórica para explorada, o relógio para todo mundo que roda a mesma stack começa a correr junto. Isso vale tanto para quem opera infraestrutura própria quanto para quem terceiriza hospedagem sem saber qual versão de PHP está rodando por baixo.
