PHP2Shell e ataque via ConnectWise: o que a empresa deve verificar

Atualizado em 29 de outubro de 2026. Revisamos o texto de 23/10 com base nos comunicados oficiais. Corrigimos a orientação sobre versões do PHP e a descrição do ataque ao Microsoft 365, e incluímos o que mudou desde então.

Resumo em 1 minuto

• PHP2Shell são duas falhas críticas no próprio PHP (CVE-2026-109618 e CVE-2026-109619, nota 9,2 no CVSS v4.0) que permitem executar código no servidor sem usuário nem senha.
• A correção completa é atualizar para PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Quem está no 8.1 ou anterior precisa migrar.
• No Microsoft 365, o problema veio de um fornecedor: credenciais de aplicativos da ConnectWise foram usadas para tentar entrar em mais de 2.250 ambientes. A Microsoft afirma que seus sistemas não foram comprometidos.

O que é o PHP2Shell

O PHP roda em cerca de 70% dos sites. O número mede o uso, não sites atacados. A falha está no PHP em si, não só no WordPress ou em plugins, por isso atualizar o site não basta: é preciso atualizar o PHP do servidor. São afetados PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.

Sobre versões:

• Corrigidas: 8.2.35, 8.3.36, 8.4.27 e 8.5.12, de 21/10.
• Do 5.4 ao 8.1 não sai versão corrigida. Para 7.4, 8.0 e 8.1 existem só patches de código-fonte, para quem compila o PHP por conta própria.
• Correção da distribuição ou da hospedagem só vale se estiver documentada por ela.
• WAF ajuda a ganhar tempo, mas é temporário.

A IA ajudou os pesquisadores da Wiz a encontrar e encadear as falhas, mas quem conduziu a pesquisa foram pessoas.

O que mudou desde a publicação

• 17/10: a Amazon viu uma tentativa de ataque antes da divulgação, sem saber se daria certo.
• 23/10: o PHP alertou para uma falha relacionada (CVE-2026-115560) que afeta até versões corrigidas e recomenda desligar session.upload_progress.enabled até a próxima atualização.
• 24/10: um pesquisador confirmou exploração bem-sucedida em honeypots, numa configuração favorável ao ataque.
• 26/10: a CISA, agência de cibersegurança dos EUA, incluiu o PHP2Shell na lista de falhas exploradas.
• 27/10: a Wiz ainda não tinha visto exploração completa nos ambientes que monitora, e as máquinas vulneráveis expostas caíram cerca de 67%. Muita gente corrigiu, muita gente ainda não.

Microsoft 365 e ConnectWise: o que se sabe

Ferramentas de backup do Microsoft 365, como as da ConnectWise, recebem permissões dentro do ambiente de cada cliente. Foram essas credenciais de aplicativo que o grupo Storm-0940, que a Microsoft associa à China, usou.

• Tentativas: mais de 2.250 tenants, segundo a Microsoft.
• Logins confirmados: a Huntress confirmou autenticações não autorizadas em 162 tenants até 16/10. Autenticar não prova, sozinho, acesso a dados.
• Depois do login: em parte dos casos houve reconhecimento, novas credenciais em aplicativos, tentativa de mudar privilégios e, em alguns, persistência. Em várias operações, o acesso privilegiado veio em menos de 3 horas.
• IA: o grupo usou o ARTEX, framework aberto com agentes de IA, para automatizar etapas. A IA acelerou; não invadiu sozinha.
• Outro caso: a tentativa de senhas contra 327 contas em 8 organizações é uma campanha separada, sem nenhum login com sucesso.

Status em 29/10: a ConnectWise suspendeu Cloud Backup, SaaS Security e Cloud Management. Em 28/10 o backup do Microsoft 365 começou a voltar por um aplicativo novo, que exige reautorizar cada tenant. O caso ainda não está encerrado. Se a sua empresa nunca usou o ConnectWise Cloud Backup (antigo SkyKick), não há motivo para concluir que foi afetada.

Checklist 1: sites e sistemas em PHP

1. Liste sites e sistemas expostos à internet, inclusive de fornecedores, com a versão do PHP de cada um.
2. Atualize, ou guarde o aviso oficial da hospedagem que comprova a correção.
3. No 8.1 ou anterior, defina data para migrar e use WAF até lá.
4. Antes de mexer, guarde os logs desde 17/10 e procure sinais de invasão. Atualizar fecha a porta, mas não expulsa quem já entrou.

Checklist 2: Microsoft 365 e ConnectWise

1. Confirme se a empresa usa ou já usou produtos de nuvem da ConnectWise.
2. Exporte os logs de entrada de aplicativos e de auditoria do Entra ID, de preferência desde 1/10.
3. Revise aplicativos autorizados, permissões, credenciais recentes e funções de administrador.
4. Só depois de registrar tudo, revogue o que sobra e troque credenciais onde houver atividade confirmada.
5. Confirme que o backup voltou a rodar e teste uma restauração. Veja por que em backup em nuvem para a segurança dos seus dados.

Dez perguntas para fazer à sua TI

1. Temos sites ou sistemas em PHP expostos, inclusive de fornecedores?
2. Qual versão cada um usa, e quem confirmou?
3. Algum está no 8.1 ou anterior? Quando migra?
4. Se a hospedagem corrigiu, onde está o aviso?
5. Alguém verificou se houve invasão desde 17/10?
6. Usamos algum produto de nuvem da ConnectWise?
7. Quais aplicativos têm permissão no nosso Microsoft 365?
8. Surgiu algum administrador ou credencial sem explicação?
9. Quando testamos a restauração do backup pela última vez?
10. Fornecedores confirmaram por escrito o que fizeram?

Se alguma resposta for “não sei”, esse é o risco real. Falamos mais sobre isso em vulnerabilidades de segurança e riscos de TI.

Como a Pulso pode ajudar

Nenhuma empresa elimina esse risco, mas dá para reduzir a exposição e reagir rápido. Levantamos seus sites e servidores, conferimos versões e revisamos as permissões do Microsoft 365 com você. No dia a dia, isso faz parte da nossa segurança gerenciada e de produtividade e segurança no Microsoft 365.

Fontes

Oficiais e primárias

• PHP: versões corrigidas (21/10) e alerta sobre a CVE-2026-115560 (23/10)
• AWS: boletim de segurança 2026-143
• AWS: tentativas antes da divulgação, vistas no MadPot
• AWS: mitigações com AWS WAF
• Wiz: detalhes técnicos do PHP2Shell
• Wiz: exploração e correções até 27/10
• Cloudflare: proteções de WAF
• Microsoft: Storm-0940, ARTEX e ConnectWise
• Huntress: credenciais de fornecedor usadas para acesso não autorizado
• ConnectWise: comunicados de segurança e status dos serviços

Complementares

• BleepingComputer: primeira exploração confirmada (26/10)
• Tenable: PHP2Shell, perguntas frequentes

Este conteúdo é informativo e não substitui orientação jurídica.

• PHP2Shell
• Vulnerabilidades
• Microsoft 365
• ConnectWise
• Gestão de riscos

Ver todos os artigos