PHP2Shell chega aos firewalls: Palo Alto confirma ataques e falha no Linux dá controle total aos invasores

A falha do PHP que derrubou sites e sistemas neste mês chegou aos firewalls. Em 28 de outubro de 2026, a Palo Alto Networks mudou o status do aviso CVE-2026-109618 para "atacado" e confirmou exploração ativa contra a interface de gerenciamento dos seus firewalls exposta na internet. No mesmo dia, segundo o site de segurança THN, a CISA, órgão de cibersegurança do governo dos Estados Unidos, colocou na lista de falhas exploradas uma brecha do kernel Linux, a Fragnesia (CVE-2026-46300), que os invasores estão usando junto com o PHP2Shell para virar administrador total da máquina.

Por que isso importa para você: até aqui, o PHP2Shell era assunto de site e de hospedagem. Agora ele alcança o equipamento que protege a rede da empresa. E quem tem VPS ou servidor Linux próprio precisa olhar também o kernel, porque atualizar só o PHP não fecha a porta inteira.

O que mudou desde o último alerta

Contamos aqui no blog quando o PHP2Shell (CVE-2026-109618 e CVE-2026-109619) começou a ser explorado e quando o PHP publicou o novo alerta. Três fatos são novos:

• Firewall da Palo Alto na mira. O aviso da empresa, publicado em 21 de outubro, foi atualizado em 28 de outubro com a frase: "foi observada exploração ativa contra a interface de gerenciamento da Palo Alto Networks exposta à internet". A gravidade é crítica, com nota 9,2.
• Do usuário comum ao administrador. A empresa israelense de segurança Dream publicou em 26 de outubro que um grupo, com indícios de ligação com a China, combinou o PHP2Shell com a Fragnesia e conseguiu acesso de administrador total (root) em 25 servidores nos Estados Unidos, no Japão, em Taiwan e na Coreia do Sul: 24 firewalls e um servidor interno de gerenciamento. A cadeia toda leva menos de 15 minutos.
• Kernel na lista da CISA. Segundo o THN, a CISA incluiu a Fragnesia no seu catálogo de falhas exploradas em 28 de outubro, com prazo até 31 de outubro para os órgãos federais americanos corrigirem. O PHP2Shell já estava na lista desde 26 de outubro, com prazo que vence nesta quinta, 29.

Os números da exploração também subiram. A Universidade de Delft registrou 68.499 tentativas de ataque vindas de 652 endereços em 73 países desde 21 de outubro.

Quem é afetado

Firewalls Palo Alto. Segundo o aviso oficial, o problema atinge o PAN-OS (firewalls das linhas PA-Series e VM-Series, além do Panorama) nos ramos 10.2, 11.1, 11.2, 12.1 e 12.2 abaixo das versões corrigidas. Fica restrito à interface web de gerenciamento e à API XML. Prisma Access, Cloud NGFW e o GlobalProtect (portal, gateway e VPN sem cliente) não são afetados.

Algumas versões corrigidas: 12.2.4-h1, 11.2.16-h1, 11.1.16-h4 e 10.2.18-h13. Outras correções estavam previstas para 29 e 30 de outubro. A medida que a própria Palo Alto põe em primeiro lugar é limitar o acesso à interface de gerenciamento a endereços internos confiáveis.

Servidores Linux. A Fragnesia fica num pedaço do kernel que trata conexões cifradas (o subsistema XFRM ESP-in-TCP). Segundo a Tenable, ela afeta Ubuntu, RHEL, Debian e outras distribuições desde maio de 2026. Sozinha, ela exige que o invasor já esteja dentro da máquina. É aí que entra o PHP2Shell: ele abre a porta, e a Fragnesia transforma o acesso limitado em controle total.

O que fazer agora

1. Tem firewall Palo Alto? Peça ao seu fornecedor de TI a versão do PAN-OS e a atualização para a versão corrigida do seu ramo. Se a correção do seu ramo ainda não saiu, restrinja já o acesso à tela de gerenciamento.
2. Tire a tela de gerenciamento da internet. Em qualquer marca de firewall, a interface de administração não precisa ficar aberta para o mundo. Deixe acessível só pela rede interna ou por VPN.
3. Tem VPS ou servidor dedicado? Atualize o PHP e também o kernel. Se não puder reiniciar agora, a Tenable indica bloquear os módulos esp4, esp6 e rxrpc até aplicar a correção.
4. Site em hospedagem compartilhada? Pergunte à hospedagem se o PHP e o kernel dos servidores já foram corrigidos. A resposta por escrito vale mais que um "está tudo certo" por telefone.
5. Procure sinais de invasão. Arquivos PHP novos em pastas de upload, usuários administradores que ninguém criou e tarefas agendadas estranhas são indícios clássicos de web shell, o arquivo que o invasor deixa para voltar quando quiser.
6. Troque senhas e chaves de quem administra o firewall e o servidor se houver qualquer suspeita.

O que ainda não se sabe

• A Dream não informou de que fabricante eram os 24 firewalls invadidos. A notícia do THN trata os dois casos juntos, mas não dá para afirmar que eram da Palo Alto.
• A ligação com a China aparece como indício, nas palavras da própria Dream.
• Não há relato de vítimas no Brasil até agora.
• O texto do alerta da CISA de 28 de outubro não pôde ser lido diretamente; o prazo de 31 de outubro vem da cobertura do THN. Segundo o THN, Cisco e Fortinet não relataram exploração nos seus produtos.

Onde a Oneck entra

Empresa pequena costuma ter firewall, servidor e site configurados uma vez e esquecidos depois. É exatamente esse tipo de equipamento que uma cadeia de falhas como essa procura. A frente de Software & Sistemas da Oneck Creative ajuda a mapear o que fica exposto na internet, a revisar versões e a montar uma rotina de atualização que não dependa de memória. Se você quer saber se a sua empresa está exposta, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.

Fontes: Palo Alto Networks: aviso CVE-2026-109618 (atualizado em 28/10/2026); Dream: cadeia PHP2Shell e Fragnesia deu root em 25 servidores (26/10/2026); THN: invasores exploram falhas PHP2Shell (outubro de 2026); CISA: alerta de 28/10/2026 sobre duas falhas exploradas; The Next Web: PHP2Shell no catálogo da CISA; Tenable: perguntas frequentes sobre a Fragnesia, CVE-2026-46300.