Será o início do apocalipse cibernético? A IA acelera os ataques e o PHP2Shell lança um novo alerta

O apocalipse cibernético provavelmente não começará como nos filmes, com todos os computadores a desligar de uma só vez. Poderá começar de uma forma muito mais mundana: um sítio Web sem atualizações, uma vulnerabilidade crítica e criminosos capazes de automatizar parte do seu trabalho utilizando inteligência artificial.

A 21 de outubro de 2026, a equipa PHP publicou atualizações para duas falhas que poderiam permitir a um atacante executar código num servidor sem precisar de uma palavra-passe. As autoridades europeias têm instado à ação imediata. Ao mesmo tempo, investigações recentes mostram como alguns cibercriminosos utilizam a IA para acelerar a identificação de alvos, preparar ferramentas e conduzir operações em maior escala.

Estamos perante o fim da Internet? Não. Estamos perante uma mudança preocupante nas regras do jogo? Existem razões para o levar a sério. Mas tenha cuidado ao misturar factos: não há evidências, baseadas nas fontes consultadas para este artigo, de que a IA originou as vulnerabilidades PHP2Shell ou que todos os ataques contra elas foram dirigidos por IA. Também não significa que todos os sítios Web que utilizam PHP tenham sido comprometidos.

O que aconteceu

Os defeitos, identificados como CVE-2026-109618 e CVE-2026-109619 e coletivamente conhecidos como php2shell, relacionam-se com a gestão de memória do próprio interpretador. Em certas circunstâncias, uma requisição HTTP preparada por um atacante pode criar uma situação que permite executar instruções não autorizadas, expor informações ou perturbar o serviço.

O aviso oficial do projeto PHP identifica instalações que servem requisições web como potencialmente expostas, incluindo configurações com PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. A equipa de segurança considera o risco em mod_php especialmente grave, para o qual foi demonstrado um caminho de exploração mesmo antes do código da aplicação ser executado.

Em 21 de outubro, a Comissão Europeia, a ENISA, o CERT-EU, a Europol e a rede da Equipa Europeia de Resposta a Incidentes emitiram uma declaração conjunta. A sua recomendação: identificar onde se utiliza PHP, aplicar as versões corrigidas e priorizar aplicações acessíveis pela Internet.

IA nas mãos erradas: o fator que poderia multiplicar o problema

Até recentemente, preparar uma campanha de intrusão em grande escala exigia tempo, experiência e um esforço humano considerável. A IA não elimina essas barreiras, mas pode reduzir parte do esforço: ajudar a analisar sistemas expostos, adaptar ferramentas, automatizar verificações e processar dados roubados. Isto não é uma hipótese tirada de um filme.

No seu relatório de ameaças de setembro de 2026, a Anthropic documentou operações que detetou e interrompeu em que certos atacantes utilizaram modelos de IA para acelerar tarefas de reconhecimento, desenvolvimento de ferramentas e exploração. O Centro Nacional de Cibersegurança da Nova Zelândia, no seu relatório de ameaças de 2026, também alerta para a velocidade e escala aumentadas que a IA pode trazer para atividades maliciosas.

Isto importa quando surge uma vulnerabilidade generalizada como PHP2Shell: a mesma fraqueza pode ser procurada por atacantes automatizando a identificação de potenciais alvos. Esse risco geral não demonstra que uma campanha específica de PHP2Shell utilizou IA; é o contexto em que empresas e administradores devem agir.

A ironia é que a IA também ajuda os defensores a analisar registos, localizar sistemas desatualizados e responder mais rapidamente. A diferença não reside numa suposta inteligência maligna, mas em quem a utiliza, com quais controlos e quanto tempo cada organização leva para corrigir as suas fraquezas.

Quais sítios Web e empresas podem ser afetados

O problema reside no ambiente de execução PHP, não num plugin específico. Portanto, sítios Web construídos com WordPress, Magento ou outras aplicações que dependem de uma instalação vulnerável de PHP podem ser afetados. Atualizar apenas WordPress ou as suas extensões não substitui atualizar o interpretador PHP.

As principais partes potencialmente afetadas são administradores web, fornecedores de alojamento, lojas online, agências que mantêm páginas para terceiros e organizações com aplicações internas acessíveis pela Internet.

Se o seu sítio Web utiliza Next.js, React ou Node.js sem executar PHP no servidor, essas duas vulnerabilidades não o afetam diretamente simplesmente por utilizar aquelas tecnologias. No entanto, um servidor pode alojar outras aplicações ou serviços baseados em PHP. Deve verificar o que está realmente instalado, não deduzir isso apenas pela aparência da página pública.

Também é importante compreender a diferença entre três coisas: uma instalação vulnerável, uma tentativa de ataque e uma intrusão confirmada. Não são equivalentes. Uma empresa que bloqueia milhares de requisições maliciosas não demonstra que milhares de bases de dados tenham sido roubadas.

Para aprofundar a segurança do seu sítio Web, consulte o nosso guia para proteger um servidor Apache e a análise separada de vulnerabilidades do núcleo do WordPress. São problemas diferentes do PHP2Shell e não substituem as atualizações de segurança do PHP.

O que fazer hoje se gerir um sítio Web

1. Verifique se o seu servidor executa PHP. Revise isto no painel de alojamento ou peça ao fornecedor para confirmar a versão do interpretador instalada em cada domínio ou serviço. Se utilizar alojamento gerido, não assuma que as atualizações são aplicadas automaticamente.
2. Verifique a versão e as correções do fornecedor. O projeto PHP publicou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 em 21 de outubro para abordar ambas as falhas. Em distribuições Linux com suporte estendido, uma correção pode estar incluída num pacote cujo número de versão aparente é anterior: peça confirmação ao fabricante antes de tirar conclusões.
3. Priorize aplicações expostas à Internet. A ENISA recomenda abordar primeiro os serviços acessíveis a partir da Internet. Se a correção imediata não for possível e o risco o justifique, considere restringir temporariamente o acesso até à aplicação da correção.
4. Mantenha proteções de rede, mas não as confunda com uma solução. Uma firewall de aplicações Web (WAF) pode bloquear certas tentativas. O Cloudflare anunciou proteções específicas contra php2shell. No entanto, tanto o Cloudflare como o PHP insistem que a atualização permanece necessária.
5. Revise sinais de comprometimento e preserve provas. Procure por atividade anómala nos registos HTTP e de aplicações, alterações inesperadas em ficheiros, processos ou tarefas, padrões de acesso incomuns e erros sem explicação. Nenhum destes indicadores por si só prova uma intrusão; nem a sua ausência garante que não ocorreu nenhuma intrusão.

Se trabalha com uma agência ou provedor de alojamento, uma questão útil e específica é: «Vocês verificaram as CVE-2026-109618 e CVE-2026-109619 em todos os serviços PHP que hospedam os meus domínios e podem confirmar a versão corrigida ou correção equivalente?»

O que fazer se apenas navega na Internet?

Não precisa de instalar o PHP nem procurar estas vulnerabilidades no seu dispositivo móvel apenas por visitar uma página. Isto é um problema com servidores que executam PHP. O risco para um utilizador surge se um sítio Web que armazena os seus dados acaba por ser comprometido, o que terá de ser confirmado caso a caso.

Neste meio tempo, mantenha os seus dispositivos e navegador atualizados, evite links que prometem ferramentas «de emergência» supostas e preste atenção às comunicações oficiais dos serviços que utiliza. Uma mensagem alarmante nas redes sociais não é prova de que as suas informações foram vazadas.

O que fazer se suspeita que o seu servidor já foi comprometido

Uma atualização corrige a vulnerabilidade, mas não elimina necessariamente uma intrusão já em curso. Se existem indicações bem fundamentadas de acesso não autorizado, evite apagar registos ou reinstalar precipitadamente sem preservar provas. Isole o sistema afetado segundo o plano de resposta, analise acessos e exposição potencial de dados, revogue ou roteie credenciais que possam ter sido comprometidas e restaure a partir de um ponto verificado se necessário. Se afetar dados pessoais, avalie as obrigações legais de notificação.

Em Espanha pode aceder aos recursos e canais de apoio do INCIBE e, onde apropriado, equipas de resposta a incidentes competentes. Para incidentes relacionados com a proteção de dados, a AEPD fornece informações sobre gestão e notificação de violações.

Será este o início de um «apocalipse cibernético»?

Não há evidências de um colapso geral da Internet. Existem duas vulnerabilidades críticas numa tecnologia amplamente utilizada, num cenário de ameaças onde alguns criminosos já empregam IA e as organizações devem corrigir os seus servidores rapidamente. São fatos distintos que, juntos, justificam a atenção; não são uma profecia de colapso.

Se há algo inquietante aqui, não é uma máquina a rebelar-se: é a facilidade com que uma fraqueza conhecida pode permanecer exposta enquanto o atacante automatiza tarefas e o administrador do sítio Web ainda não tem revisto as suas atualizações.

A resposta permanece bastante fundamentada: identificar instalações afetadas, aplicar correções e verificar sinais de exploração. O medo vende cliques; corrigir servidores previne problemas.

Fontes oficiais e técnicas consultadas (21–22/10/2026)

• Equipa de Segurança do PHP, anúncio de 21/10/2026. Versões corrigidas, âmbito técnico e medidas provisórias: https://www.php.net/archive/2026.php
• ENISA e agências da UE, declaração conjunta de 21/10/2026. Risco de execução remota e prioridade de atualização: https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
• Cloudflare, 21/10/2026. Descrição técnica e medidas WAF: https://blog.cloudflare.com/php-vulnerabilities-waf-protection
• Anthropic, relatório de inteligência sobre abuso de IA (setembro de 2026). Casos documentados de assistência de IA em operações maliciosas: https://www.anthropic.com/threat-intelligence-report-september-2026
• NCSC da Nova Zelândia, Relatório de Ameaças Cibernéticas 2026. Avaliação do impacto da IA na velocidade e na escala dos ataques cibernéticos: https://www.ncsc.govt.nz/insights-and-research/cyber-threat-reports/cyber-threat-report-2026/
• INCIBE, canal oficial espanhol: https://www.incibe.es/
• AEPD, autoridade espanhola de proteção de dados: https://www.aepd.es/

Também te pode interessar

• Aviso sobre vulnerabilidade de injeção SQL no Sequelize que afeta aplicações web
• A Microsoft prepara mais patches de segurança com IA
• Vulnerabilidade SSRF não autenticada no SeaweedFS permite falsificação de solicitações do lado do servidor