Resumo:
A Cloudflare, uma empresa global de serviços em nuvem e segurança de rede, anunciou em 21 de outubro de 2026 que implantou regras de proteção do Web Application Firewall (WAF) contra duas vulnerabilidades graves de segurança conhecidas como "php2shell" na linguagem de programação PHP. As duas vulnerabilidades são numeradas CVE-2026-109618 e CVE-2026-109619 respectivamente, o que pode levar à negação de serviço, execução remota de código e vazamento de dados confidenciais.
A Cloudflare afirmou que a empresa começou a preparar medidas de proteção antes de a vulnerabilidade ser oficialmente divulgada e concluiu a implantação aproximadamente 9 horas antes de a vulnerabilidade ser divulgada. A partir das 3h02 UTC do dia 21 de outubro, tanto os clientes gratuitos quanto os pagos que ativarem o Cloudflare WAF receberão proteção por padrão.
Este trabalho de proteção é uma das ações de resposta coordenadas das quais a Cloudflare participou em conjunto com a PHP Foundation, OpenAI, Wiz e outras organizações. Quando as informações sobre vulnerabilidades são vazadas antecipadamente e os invasores começam a tentar explorar as vulnerabilidades, as equipes de segurança relevantes continuam a ajustar as regras de proteção e se esforçam para fornecer proteção adicional aos serviços de Internet antes que os operadores de sites concluam as atualizações de software.
A Cloudflare disse que antes da vulnerabilidade se tornar oficialmente pública, a empresa observou tráfego de ataque direcionado aos clientes. A equipe de segurança também descobriu que os invasores continuaram a modificar as cargas de ataque na tentativa de contornar as medidas de proteção implementadas. Ao rastrear o número de correspondências de regras e analisar as mudanças nos invasores combinadas com a lógica das regras, a Cloudflare pode ajustar continuamente o mecanismo de detecção para lidar com novas variantes de ataque.
PHP é uma linguagem de programação do lado do servidor amplamente utilizada na Internet. A Cloudflare citou dados da W3Techs e apontou que quase 70% dos sites do mundo usam PHP. Plataformas comuns de sites, incluindo WordPress e Magento, dependem de PHP para funcionar. Portanto, quando ocorre uma vulnerabilidade grave no ambiente operacional subjacente, ela pode afetar um grande número de sites, serviços online e aplicativos empresariais.
Esta vulnerabilidade afeta o próprio tempo de execução do PHP, e não um programa ou plug-in específico do site. Um invasor pode enviar uma solicitação HTTP especialmente construída ao servidor, acionando o PHP para lidar com problemas de memória em um estado anormal. De acordo com informações divulgadas pela Cloudflare, duas vulnerabilidades envolvem a falha do PHP em lidar com segurança com a memória relacionada e o estado interno quando ocorre falta de memória ou erros fatais durante o processamento da solicitação.
A primeira vulnerabilidade, CVE-2026-109618, envolve tratamento de exceções após esgotamento da memória. Quando o PHP interrompe a solicitação quando alguns dados internos não foram inicializados, as operações de limpeza subsequentes podem usar erroneamente esses dados que não foram efetivamente inicializados como dados normais, causando corrupção de memória.
A segunda vulnerabilidade, CVE-2026-109619, envolve o estado interno que permanece após o término da solicitação. Quando ocorre um erro fatal em uma solicitação, o processo PHP pode continuar a reter referências à memória liberada. Se o mesmo processo posteriormente tratar outra solicitação, ele poderá acessar a memória que expirou, levando ao vazamento de dados confidenciais ou até mesmo criando condições para novos ataques.
Um invasor pode acionar essas exceções construindo solicitações específicas. Solicitações maiores podem causar pressão na memória, mas o risco não se limita ao consumo de recursos do servidor. Os invasores também podem explorar falhas no tratamento de memória inválida pelo programa para travar o processo PHP, vazar informações confidenciais ou executar código fornecido pelo invasor.
Diante dessas vulnerabilidades, as regras tradicionais de firewall de aplicativos da Web nem sempre fornecem uma base confiável o suficiente para julgamento. A Cloudflare observa que, ao inspecionar apenas as solicitações recebidas, às vezes é difícil distinguir com precisão os ataques maliciosos do tráfego normal. Se você puder analisar a solicitação e a resposta retornada pelo servidor ao mesmo tempo, terá a oportunidade de obter mais informações contextuais, determinar com mais precisão se o ataque foi bem-sucedido e reduzir a probabilidade de interceptar solicitações normais por engano.
Para isso, a Cloudflare desenvolveu um novo recurso WAF chamado "Full Transaction Detection". Este mecanismo combina sinais de solicitação e resposta na mesma transação HTTP para análise. Quando as regras de detecção confirmam que uma transação atende às características de ataque, o conteúdo da resposta do servidor de origem pode ser interceptado antes de ser devolvido ao solicitante.
As regras de proteção implantadas para php2shell são as primeiras regras de detecção gerenciada lançadas pela Cloudflare usando esse novo recurso. A empresa acredita que, ao analisar de forma abrangente as solicitações e respostas, poderá identificar ataques complexos e, ao mesmo tempo, reduzir possíveis erros de julgamento causados por confiar apenas nas características das solicitações.
Em termos de implantação específica, a Cloudflare afirmou que os usuários de pacotes gratuitos não precisam ativar manualmente novas regras de proteção. As regras relevantes foram implantadas automaticamente no conjunto de regras gratuito hospedado pela Cloudflare. Os pacotes pagos fornecem proteção por meio de conjuntos de regras gerenciadas pela Cloudflare. Os usuários das edições Professional, Business e Enterprise devem confirmar se os conjuntos de regras relevantes estão habilitados e em modo de bloqueio, em vez de apenas registrar eventos de ataque.
A Cloudflare também implanta regras de bloqueio padrão para assinaturas de ataques de alta confiança em suas regras padrão do Firewall de Resposta Gerenciada. Os usuários podem entrar na interface de análise de segurança para visualizar solicitações interceptadas, regras correspondentes e caminhos relacionados para entender se seu site está sob ataque. Para clientes que necessitam de um controle mais granular, o escopo dos conjuntos de regras gerenciadas também pode ser ajustado.
No entanto, a Cloudflare enfatizou repetidamente que a proteção WAF só pode ser usada como parte da defesa em profundidade e não pode substituir o patch oficial do PHP. Mesmo que um site tenha o firewall Cloudflare ativado, os administradores ainda devem atualizar o software PHP real em execução no servidor o mais rápido possível. A razão é que o WAF reduz principalmente os riscos ao identificar e bloquear o tráfego de ataque conhecido ou detectável, enquanto a vulnerabilidade em si ainda existe no ambiente de execução do PHP não corrigido. Quando um invasor adota um novo método de ataque ou a solicitação não é identificada com precisão pelas regras existentes, o sistema ainda pode estar em risco.
Para organizações que não conseguem concluir a atualização imediatamente, a Cloudflare recomenda continuar habilitando a proteção WAF, limitando funções desnecessárias de upload de arquivos e definindo limites razoáveis de tamanho de arquivo para interfaces de upload que devem ser mantidas. Estas medidas podem ajudar a reduzir a exposição de algumas rotas de ataque, mas não podem resolver completamente o problema da vulnerabilidade. Para sites que utilizam hospedagem gerenciada, se o operador não puder gerenciar diretamente a versão PHP, deverá entrar em contato com o provedor de serviços de hospedagem o mais rápido possível para confirmar se ele implantou atualizações de segurança oficiais.
A Cloudflare afirmou que sua equipe de análise de segurança continuará monitorando atividades de ataque e atualizando regras de proteção com base em novas tecnologias e variantes de carga útil adotadas pelos invasores. A empresa também recomenda que os usuários continuem a manter a proteção WAF relevante enquanto reparam vulnerabilidades de PHP para formar uma defesa em várias camadas.
Este incidente destaca a importância dos mecanismos de resposta de segurança na Internet. Para vulnerabilidades de software subjacentes que têm um grande impacto e podem ser exploradas remotamente, o simples lançamento de um patch não é suficiente para garantir que a segurança de todos os sites seja imediatamente restaurada, porque a velocidade de atualização, as capacidades de manutenção e os métodos de gerenciamento de servidores de diferentes operadores variam muito. Os provedores de serviços em nuvem implantam regras de proteção com antecedência para ganhar um tempo valioso entre o lançamento do patch e a instalação em larga escala.
Mas, no longo prazo, a solução mais confiável ainda é atualizar para a versão de reparo do PHP lançada oficialmente. As medidas de proteção temporária da Cloudflare podem fornecer barreiras adicionais para sites, mas não podem garantir que todas as variantes de ataque serão bloqueadas. Para sites que executam PHP, o reparo oportuno do ambiente operacional subjacente, a manutenção das regras de firewall ativadas e a verificação contínua de solicitações anormais ainda são medidas importantes para lidar com essa vulnerabilidade do php2shell.
Artigos relacionados:
O PHP expôs sérias vulnerabilidades de segurança, e os operadores globais de sites entraram urgentemente em um estado de correção
Comentários