PHP2Shell em governo: entenda o ataque
Exploração atingiu órgão europeu, expôs credenciais e trouxe sinais de uso de IA.
Resumo rapido
Atacantes estão explorando as falhas conhecidas como PHP2Shell, registradas como CVE-2026-109618 e CVE-2026-109619. Em um caso citado pela Unit 42, um órgão governamental europeu teve hashes de senha e segredos de autenticação multifator acessados em menos de duas horas. A atividade ainda trouxe indícios de uso de inteligência artificial para organizar comandos e interpretar resultados.
Neste artigo voce vai aprender:
- O que aconteceu no caso envolvendo PHP2Shell.
- Quais dados foram acessados pelos invasores.
- Por que os sinais apontam para automação com IA.
- Quais comportamentos procurar em servidores e Active Directory.
- Quais ações priorizar para reduzir o risco.
O que é PHP2Shell e quem foi atingido
PHP2Shell é o apelido dado a duas vulnerabilidades, CVE-2026-109618 e CVE-2026-109619, que já aparecem em exploração ativa por grupos maliciosos. Segundo a Unit 42, um dos casos atingiu uma entidade governamental na Europa. Em menos de duas horas após a exploração inicial, os invasores já tinham em mãos hashes de senha e segredos de autenticação multifator.
O relatório também cita uma campanha suspeita ligada à Coreia do Norte, acompanhada pela CYFIRMA, que usa 21 nós comprometidos para sondar infraestrutura PHP em vários países. A lista analisada reunia 216 hosts sem correção ou apenas parcialmente mitigados, com presença nos Estados Unidos, Japão, Coreia do Sul, Tailândia, Indonésia, Austrália, Taiwan e Índia.
Da invasão ao Domain Admin em duas horas
Logo após o acesso inicial, os atacantes partiram para o reconhecimento do ambiente comprometido. Na prática, isso significa mapear contas, servidores internos, grupos privilegiados e qualquer caminho que amplie o controle sobre a rede. É a fase que define o tamanho do estrago.
No caso descrito, eles montaram um túnel de retransmissão NTLM em direção ao Active Directory e tentaram elevar privilégios até Domain Admin, a conta com maior poder dentro do domínio. Também apareceram comandos usando curl para consultas LDAP anônimas ao controlador de domínio, com o objetivo de localizar a conta de administrador.
Um detalhe chamou atenção: o formato das respostas. Os blocos chegavam separados por marcadores como ==SHELLUSER== e ==PASSWD==, um padrão que facilita a leitura por máquina. Para os analistas, esse comportamento é compatível com o uso de uma plataforma de IA capaz de interpretar os resultados e sugerir os próximos passos da invasão.
Sinais de alerta nos logs
Equipes de segurança têm indícios bem específicos para caçar, principalmente em servidores PHP e em ambientes integrados ao Active Directory. Vale concentrar a busca nos seguintes pontos:
- Consultas incomuns via curl para LDAP ou para o controlador de domínio.
- Tentativas de localizar contas administrativas, grupos privilegiados e usuários interativos.
- Acesso inesperado a bancos de autenticação, hashes de senha ou segredos de MFA.
- Marcadores de saída como ==SHELLUSER==, ==PASSWD== ou outros delimitadores repetitivos em logs.
- Indícios de túnel NTLM relay ou tentativa de escalada para Domain Admin.
- Varreduras lentas, de baixo volume, que trocam de origem quando há bloqueio ou limitação.
Prioridades de resposta
O primeiro passo é confirmar se existe infraestrutura PHP exposta e se as correções ou mitigações foram realmente aplicadas. A fonte menciona hosts sem correção ou parcialmente mitigados, o que mostra que registrar a ação no chamado não basta: é preciso validar o resultado no ambiente.
- Faça inventário dos servidores PHP acessíveis pela internet.
- Revise os logs das primeiras horas após qualquer alerta de exploração.
- Procure acesso a hashes, segredos de MFA e bancos de autenticação.
- Havendo suspeita, troque as credenciais afetadas e reemita os segredos de MFA.
- Verifique o Active Directory em busca de consultas LDAP anômalas e tentativas de privilégio elevado.
- Não dependa apenas de alertas por volume: a campanha descrita usa varredura lenta e troca de nós.
Checklist pratico
- Mapeie todos os sistemas PHP expostos e confirme se CVE-2026-109618 e CVE-2026-109619 foram tratadas.
- Busque nos logs marcadores como ==SHELLUSER==, ==PASSWD==, consultas LDAP via curl e sinais de NTLM relay.
- Se houver indício de acesso a credenciais, force troca de senhas, revise o MFA e investigue privilégios no Active Directory.
Perguntas frequentes
O que é PHP2Shell?
É o nome dado às vulnerabilidades CVE-2026-109618 e CVE-2026-109619, exploradas atualmente contra infraestrutura PHP exposta.
Por que o uso de IA foi citado?
Porque os comandos observados geravam saídas organizadas por delimitadores fáceis de ler por máquina, um comportamento compatível com o apoio de uma plataforma de IA durante a pós-exploração.
Minha empresa deve se preocupar mesmo fora do governo?
Sim. A campanha citada analisou 216 hosts em diversos países, e não apenas órgãos públicos. Qualquer ambiente PHP exposto e sem correção adequada precisa ser verificado.
Proteja sua empresa com a LC SEC
A LC SEC ajuda sua equipe a validar exposição, revisar sinais de exploração, fortalecer o Active Directory e estruturar a resposta a ataques que combinam vulnerabilidades conhecidas e automação com IA.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
https://thehackernews.com/2026/10/php2shell-exploitation-hits-government.html
Compartilhe nas redes sociais:
