A economia adversarial: como os agentes de ameaças estão reagindo ao PHP2Shell

Duas vulnerabilidades de criticidade alta do PHP levaram os administradores de fóruns criminosos a tomarem medidas urgentes para proteger sua própria infraestrutura, revelando que os agentes de ameaças enfrentam os mesmos desafios de gerenciamento de exposição que as organizações que eles visam.

Principais conclusões

1. A economia adversarial funciona com base nos mesmos princípios fundamentais da economia legítima. 
2. Autoevacuações de fóruns: fóruns criminosos, incluindo o BreachForums, iniciaram migrações de infraestrutura de emergência, tirando-se do ar poucas horas após a divulgação do PHP2Shell, alegando risco direto às suas operações.
3. Os operadores do submundo enfrentam uma dupla ameaça: tanto as autoridades policiais quanto grupos criminosos rivais poderiam utilizar o PHP2Shell contra a infraestrutura de fóruns que armazenam identidades de membros, comunicações privadas e credenciais roubadas.
4. A resposta adversarial reflete a resposta legítima das empresas a incidentes corporativos, incluindo a aplicação de patches de emergência, a migração de plataformas e o planejamento de continuidade de negócios.
5. O precedente histórico da apreensão do BreachForums em 2024 levou os criminosos cibernéticos a considerarem as vulnerabilidades da infraestrutura como riscos existenciais para os negócios.

Contexto

Estima-se que o PHP seja utilizado em 75% dos sites com tecnologia identificável do lado do servidor, o que o torna a espinha dorsal da Web moderna. Essa infraestrutura vai muito além das empresas legítimas. Fóruns criminosos, mercados da dark Web e plataformas de comunicação clandestinas utilizam as mesmas pilhas de software baseadas em PHP, como o phpBB, motores de fórum personalizados e painéis de administração baseados na Web, que alimentam suas contrapartes legítimas.

Em 20 de outubro de 2026, foram divulgadas publicamente duas vulnerabilidades de criticidade alta no PHP relacionadas à execução remota de código sem autenticação: CVE-2026-109618 (corrupção por OOM) e CVE-2026-109619 (estado global desatualizado), cada uma com uma pontuação do CVSS v4.0 de 9,2. As duas vulnerabilidades afetam diferentes etapas do gerenciamento de memória do PHP, e combiná-las resulta em uma via de exploração mais confiável do que qualquer uma delas isoladamente. Os pesquisadores atribuem aos modelos de IA de fronteira tanto a descoberta inicial quanto a cadeia de exploração que os conecta. O Tenable Vulnerability Watch classificou ambas como “vulnerabilidades preocupantes” (VOC). Em poucas horas, a comunidade de segurança cibernética deu início ao seu ciclo já conhecido de avaliação, aplicação de patches e correção. Para ver uma análise técnica completa, consulte nossa postagem do blog “php2shell: Frequently asked questions about critical PHP remote code execution vulnerabilities”. 

Ao mesmo tempo, já estava em andamento uma resposta paralela, incluindo autoevacuações de fóruns criminosos e medidas para proteger a economia adversarial. 

“Levamos nossa segurança a sério”

A economia adversarial funciona com base nos mesmos princípios fundamentais da economia legítima. Os criminosos investem em infraestrutura, gerenciam riscos, planejam a continuidade dos negócios e respondem às ameaças contra suas operações com a mesma urgência sistemática que qualquer organização bem administrada aplicaria. Desde as cadeias de suprimentos de roubo de credenciais que documentamos no início deste ano até a emergência no nível da infraestrutura que está ocorrendo agora, surge um padrão constante: o submundo funciona como uma economia, e as economias têm superfícies de ataque. O PHP2Shell afetou simultaneamente os dois lados da barreira de segurança, e a reação do submundo demonstra que agentes de ameaças sofisticados já compreenderam a severidade dessa exposição.

Em até 48 horas após a divulgação do PHP2Shell, administradores de vários fóruns criminosos importantes publicaram alertas de emergência para suas comunidades. O BreachForums, um dos maiores mercados criminosos em língua inglesa, publicou um comunicado que incluía uma frase conhecida de qualquer pessoa que já tenha lido uma notificação de violação de dados corporativa: “Levamos a nossa segurança a sério.”

A ironia é perceptível. Uma plataforma mais conhecida por comercializar credenciais roubadas, facilitar operações de ransomware e hospedar dados corporativos vazados adotou a mesma linguagem que as empresas da Fortune 500 utilizam após seus próprios incidentes de segurança. Porém, por trás da linguagem corporativa emprestada, havia uma urgência operacional genuína.

O BreachForums não foi o único. O DarkForums publicou seu próprio aviso de encerramento: “O DF permanecerá fora do ar até que o PHP tenha sido corrigido em todos os servidores”. O PwnForums saiu do ar sem nenhuma explicação. O Dread, plataforma semelhante ao Reddit voltada para o ecossistema Tor, publicou um aviso de manutenção mencionando explicitamente as duas CVEs. Vários fóruns restringiram temporariamente novos cadastros, e outros migraram comunicações essenciais para canais do Telegram como medida de contingência, considerando suas plataformas Web baseadas em PHP como infraestrutura potencialmente comprometida.

A dupla ameaça

A urgência por trás dessas evacuações reflete um modelo de ameaças que organizações legítimas reconheceriam imediatamente. Os fóruns criminosos funcionam em uma infraestrutura PHP, e essa infraestrutura armazena exatamente o tipo de dados que torna uma vulnerabilidade como a PHP2Shell catastrófica.

A autoevacuação simultânea é um indicador comportamental significativo. Uma análise da DarkOwl, uma empresa de inteligência da dark Web, destacou a amplitude do que se esconde por trás da camada de aplicação PHP de um fórum típico: endereços de e-mail de membros, logs de IP, mensagens privadas, registros de transações financeiras e as próprias credenciais roubadas que os membros colocavam à venda. Uma exploração bem-sucedida da pilha PHP de um fórum não causaria apenas uma interrupção na plataforma; ela comprometeria a identidade e a segurança operacional de todos os participantes.

Os administradores de fóruns enfrentam uma ameaça que a maioria das empresas legítimas não enfrenta: o invasor ataca de duas frentes simultaneamente. Os órgãos de segurança pública demonstraram tanto a capacidade quanto a disposição para explorar a infraestrutura criminosa, como comprovado pela operação do FBI contra o ransomware Hive e o fechamento de vários fóruns. Contudo, os grupos criminosos rivais representam uma ameaça igualmente grave. Fóruns concorrentes, de extorsão e hackers oportunistas têm motivos para invadir o banco de dados de uma plataforma rival a fim de roubar sua base de usuários, extorquir seus operadores ou eliminar a concorrência.

Essa dupla ameaça transforma uma vulnerabilidade de PHP de um problema técnico em um risco existencial para os negócios. A última vez que o submundo do crime evacuou plataformas nessa magnitude foi durante a apreensão do BreachForums em 2024, mas essa reação foi desencadeada por uma ação das autoridades. O caso do PHP2Shell marca a primeira vez que uma vulnerabilidade técnica em uma infraestrutura compartilhada provocou essa reação, uma mudança que sugere que os criminosos agora tratam sua dependência do PHP como um ponto único de falha sistêmico. Eles avaliam essa exposição exatamente da mesma forma que um CISO avalia uma vulnerabilidade crítica sem patch: a questão não é se alguém tentará realizar a exploração, mas quando.

A lição do BreachForums

Essa memória institucional foi moldada por experiências difíceis. A apreensão do BreachForums pelo FBI em 2024 demonstrou, de forma concreta, o que acontece quando uma infraestrutura criminosa é comprometida.

Essa apreensão resultou na exposição de detalhes operacionais, na prisão do administrador do fórum e na interrupção de milhares de operações criminosas em andamento que dependiam da plataforma. Para a economia do submundo, isso foi equivalente a uma grave falha na cadeia de suprimentos: um único ponto de falha que provocou um efeito em cascata em todo um ecossistema.

A lição foi aprendida. Os criminosos passaram a tratar sua infraestrutura na Web como um único ponto de falha, exigindo o mesmo planejamento de resiliência que as empresas legítimas aplicam aos sistemas de criticidade elevada. O PHP2Shell confirmou essa preocupação. As duas CVEs afetam todas as versões do PHP anteriores à 8.3, o que significa que cerca de 59% dos servidores PHP voltados à Internet que executam branches no fim da vida útil ficam permanentemente expostos, a menos que seja realizada uma atualização de versão. Fóruns criminosos que utilizam versões mais antigas do PHP enfrentam o mesmo dilema matemático que qualquer empresa com uma grande base instalada de software sem suporte: não há patch disponível, e a única correção é a migração.

Da defesa ao ataque: a economia da exploração

A relação do submundo do crime com o PHP2Shell vai além das medidas defensivas. Relatórios de inteligência indicam que o código de exploração para ambas as CVEs circulou em canais privados antes do fim do embargo público, tendo sido observada a exploração pré-divulgação já em 17 de outubro, a partir de uma infraestrutura rastreada até um endereço IP geolocalizado na Austrália.

O pipeline de desenvolvimento de exploração se acelerou de maneiras que devem preocupar todas as organizações que utilizam PHP. Pesquisadores documentaram o uso de ferramentas de análise de vulnerabilidades assistidas por IA para acelerar o desenvolvimento de explorações funcionais e identificar vetores de exploração adicionais dentro das classes de vulnerabilidades divulgadas. Isso representa uma tendência mais ampla, na qual os mesmos recursos de IA que aceleram a pesquisa em segurança defensiva também reduzem o intervalo entre a divulgação e a instrumentalização.

A previsão de monetização segue um padrão que já documentamos anteriormente. A economia de credenciais de desenvolvedores opera por meio de três camadas (geração, distribuição e instrumentalização), e o PHP2Shell se encaixa perfeitamente em cada uma delas. Os agentes de acesso inicial incluirão a exploração do PHP2Shell em suas ofertas de serviços. Os afiliados de ransomware incorporarão essas vulnerabilidades em seus manuais de ação para acesso inicial. E os fóruns criminosos que aplicaram patches em sua própria infraestrutura se tornarão os mercados para a venda de acesso a organizações que não o fizeram. Vimos uma prévia desse ciclo de comodificação durante a campanha Miasma, na qual cadeias de ferramentas de ataque de código aberto aceleraram a exploração em grande escala. A economia adversarial é eficiente: os mesmos operadores que se apressaram a proteger suas próprias pilhas de PHP lucrarão com as organizações que não fizerem isso.

O que isso significa para os defensores

A reação do submundo do crime ao PHP2Shell é, paradoxalmente, um dos sinais mais claros da severidade dessa vulnerabilidade. Quando os agentes de ameaças tratam uma divulgação como uma emergência que exige uma resposta operacional imediata, os defensores devem ajustar seu próprio nível de urgência de acordo com a situação.

As organizações que utilizam o PHP devem tratar tanto a CVE-2026-109618 quanto a CVE-2026-109619 como prioridades imediatas de correção. Todas as versões do PHP anteriores à 8.3 são afetadas, e não serão lançados patches para branches cujo ciclo de vida tenha chegado ao fim, incluindo todas as versões do PHP 5.x, 7.x, 8.0, 8.1 e 8.2. Em ambientes nos quais uma atualização imediata não seja viável, controles compensatórios, incluindo firewalls de aplicações Web, segmentação de rede e monitoramento aprimorado de indicadores de exploração, devem ser implementados sem demora. Os criminosos já aplicaram o patch. A questão para todas as organizações é se elas farão o mesmo antes que a economia da exploração as alcance.

Identificação de sistemas afetados

Uma lista de plug-ins da Tenable para essas vulnerabilidades pode ser encontrada nas páginas individuais das CVEs para CVE-2026-109618 e CVE-2026-109619, à medida que forem sendo lançados. Este link exibirá todos os plug-ins disponíveis para essas vulnerabilidades, incluindo os plug-ins que serão lançados em breve em nosso Pipeline de plug-ins.

Obtenha mais informações

• Comunicado de segurança do PHP — CVE-2026-109618 (em inglês)
• Comunicado de segurança do PHP — CVE-2026-109619 (em inglês)
• Catálogo de vulnerabilidades conhecidas e exploradas da CISA (em inglês)
• A economia das credenciais de desenvolvedores: por que dados de exposição são a nova linha de frente na guerra da cadeia de suprimentos (em inglês)
• O que a campanha “Miasma” revela sobre o novo modelo de ameaças à cadeia de suprimentos e o submundo (em inglês)

Participe do Tenable Connect com a Equipe de Operações Especiais de Pesquisa (RSO) da Tenable para mais discussões sobre as mais recentes ameaças cibernéticas.

Saiba mais sobre a Plataforma de gerenciamento de exposição Tenable One, a plataforma de gerenciamento de exposição para a superfície de ataque moderna.