Interrupções por falhas de segurança no PHP atingem 1.090 serviços no Japão, que enfrentam dificuldades para retomar as atividades

Centenas de serviços ainda aguardam a retomada

A resposta do Japão a duas graves falhas de segurança no PHP interrompeu pelo menos 1.090 sites e serviços online, e centenas ainda não tinham anunciado a reabertura até 26 de outubro de 2026. A interrupção afetou lojas virtuais, procedimentos de contas financeiras, serviços de cuidados infantis e jogos, enquanto os operadores instalam correções e verificam se seus sistemas estão seguros para voltar a funcionar.

A Assured, empresa de Tóquio que fornece informações de avaliação de segurança para serviços em nuvem, contabilizou 1.090 suspensões de serviços até as 15h de 26 de outubro. A análise se baseou principalmente em publicações de contas oficiais no X que anunciavam interrupções. O total subiu de 502 às 14h de 23 de outubro, um aumento de 588, ou cerca de 117%, em aproximadamente três dias.

Para 465 desses serviços, a Assured não havia confirmado um anúncio de reabertura. Isso representa cerca de 43% das suspensões registradas. Os números acompanham anúncios públicos, portanto, ainda é preciso confirmar com os operadores a situação mais recente desses 465 serviços.

A Bandai Namco Holdings esperava reabrir ao meio-dia de 27 de outubro uma loja online que vende brinquedos e outros produtos, após o início da manutenção na noite de 21 de outubro. As conexões online de jogos de fliperama, incluindo Taiko no Tatsujin, continuavam suspensas. Na Daiwa Securities, algumas funções do site já haviam voltado, mas as solicitações de abertura de contas de investimento NISA e procedimentos como a alteração de endereço continuavam indisponíveis às 17h de 26 de outubro.

O que as falhas PHP2shell podem fazer

A Agência de Promoção de Tecnologia da Informação do Japão, conhecida como IPA, identificou as vulnerabilidades como CVE-2026-109618 e CVE-2026-109619 em seu alerta de segurança do PHP de 22 de outubro. A combinação das duas falhas é chamada PHP2shell. O PHP é um software usado para executar muitos sites e aplicações web, processando tarefas nos servidores antes que as informações cheguem ao navegador do usuário.

A CVE-2026-109618 diz respeito ao tratamento de erros quando o PHP fica sem memória. A CVE-2026-109619 afeta o processamento de solicitações enviadas a um servidor. A exploração das falhas pode permitir que um invasor remoto execute código arbitrário, ou seja, instruções escolhidas pelo invasor, e não pelo operador do site.

A JPCERT/CC, entidade japonesa responsável pela coordenação de incidentes de segurança cibernética, informa que esse código pode ser executado com as permissões do processo PHP. Em termos simples, um invasor poderia realizar ações permitidas pelo software que executa o site. O alcance dependeria das permissões e da configuração do sistema afetado.

A IPA afirma que as organizações devem consultar as informações dos desenvolvedores ou fornecedores dos produtos que utilizam, pois o PHP pode fazer parte de uma aplicação ou serviço maior. A JPCERT/CC também alerta que versões do PHP fornecidas por meio de produtos de software ou distribuições Linux podem ser afetadas, tornando as orientações dos fornecedores parte da resposta.

Como as interrupções se espalharam

Os operadores começaram a tirar sistemas do ar em 21 de outubro, antes de as atualizações de segurança ficarem disponíveis, por volta das 23h, no horário do Japão. Alguns se anteciparam à publicação, pois a divulgação de detalhes sobre as falhas poderia aumentar o risco de ataques.

A sequência mostra como uma atualização urgente de software provocou vários dias de interrupções:

• 21 de outubro: BASE, Codmon, Pixiv, DMM.com, niconico e alguns serviços da Sakura Internet entraram em manutenção ou suspenderam funções. Jogos como Granblue Fantasy e Uma Musume Pretty Derby também foram temporariamente interrompidos.
• 21 de outubro, 21h55: a primeira-ministra Sanae Takaichi pediu que fossem feitos preparativos urgentes para aplicar as correções e disse que a suspensão temporária de sites era uma opção quando a instalação imediata não fosse possível.
• 21 de outubro, por volta das 23h: as atualizações de segurança do PHP foram lançadas.
• 22 de outubro: a IPA e a JPCERT/CC publicaram alertas com explicações sobre as vulnerabilidades e as respostas recomendadas.
• 23 de outubro: a contagem da Assured chegou a 502 suspensões. Os desenvolvedores do PHP também divulgaram outra vulnerabilidade, a CVE-2026-115560.
• 26 de outubro: o total da Assured chegou a 1.090, enquanto a JPCERT/CC atualizou seu alerta com relatos de tentativas de exploração.
• 27 de outubro, meio-dia: a Bandai Namco esperava reabrir sua loja online de brinquedos e outros produtos.

Por que tirar um site do ar virou uma opção

O Gabinete Nacional de Cibersegurança do Japão recomendou que a suspensão temporária de um site poderia reduzir os riscos quando os operadores não conseguissem instalar a correção rapidamente. Takaichi repetiu essa opção em seu apelo de 21 de outubro. A CERT-EU e o Centro Nacional de Segurança Cibernética do Reino Unido também pediram medidas e apontaram que tirar os sistemas do ar até que as proteções estivessem implementadas poderia ser uma resposta.

As orientações da IPA apresentam uma sequência de opções. Primeiro, as organizações devem considerar proteções temporárias e restrições de acesso enquanto preparam uma atualização ou migração. Se for difícil adotar medidas temporárias eficazes, devem avaliar se é necessário bloquear o acesso externo ou suspender o serviço, levando em conta os possíveis danos e os impactos para as operações.

Para os clientes, essa decisão significou perder acesso a funções do dia a dia enquanto os operadores trabalhavam. Um site de compras poderia deixar de aceitar pedidos, um site financeiro poderia suspender procedimentos de contas e uma máquina de fliperama poderia perder a conexão com os recursos online.

Yasuhiro Suzuki, que liderou a investigação da Assured, disse que os operadores estavam optando cada vez mais por suspender os serviços para proteger as informações dos clientes, enquanto a demora na retomada mostrava como era difícil reabrir com segurança. Sua avaliação resume o principal desafio operacional: bloquear o acesso pode ser rápido, mas a retomada depende da conclusão do trabalho necessário.

Aplicar uma correção é apenas parte da reabertura

A interrupção na Bandai Namco mostra por que serviços de um mesmo grupo empresarial podem voltar a funcionar em momentos diferentes. O grupo esperava reabrir sua loja de produtos em 27 de outubro, enquanto as conexões dos jogos de fliperama continuavam suspensas. As atualizações dos sistemas necessários para instalar a correção do PHP estavam demorando.

Alguns serviços também consideravam transferir temporariamente os dados para servidores de outra empresa cuja segurança já tivesse sido verificada. Isso mudaria o local de operação do serviço enquanto as equipes trabalham no ambiente afetado, exigindo preparativos adicionais antes que os clientes possam voltar a usá-lo.

A Daiwa Securities havia restaurado partes de seu site, incluindo as perguntas frequentes, mas as solicitações de abertura de contas e as alterações de endereço ainda estavam indisponíveis em 26 de outubro. Assim, uma página de informações funcionando coexistia com a interrupção de procedimentos para clientes.

A IPA explica que sistemas que ficam muito tempo sem atualizações podem exigir mudanças no código das aplicações e testes para verificar se as funções continuam operando após a atualização do PHP. A falta de documentação de desenvolvimento, de funcionários que conheçam o sistema e de contratos de manutenção vigentes pode dificultar o trabalho. A JPCERT/CC recomenda testes suficientes e, em seguida, a instalação imediata das versões corrigidas.

Quais versões precisam de atenção?

A IPA e a JPCERT/CC indicam quatro versões corrigidas do PHP para o par original de vulnerabilidades: PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. As versões anteriores dentro de cada uma dessas linhas estão vulneráveis. Os operadores precisam identificar a correção correspondente à linha do PHP usada pelo sistema e consultar as orientações do fornecedor do software ou do sistema operacional.

Instalações antigas apresentam outro problema. A IPA cita uma descoberta da empresa de segurança Wiz segundo a qual versões a partir do PHP 5.4 são afetadas por pelo menos uma das duas vulnerabilidades. O PHP 8.1 e versões anteriores chegaram ao fim do suporte, o que significa que já não recebem a manutenção normalmente oferecida às versões ainda compatíveis.

A IPA recomenda migrar para versões do PHP com suporte ou para produtos e serviços que contem com proteções, caso não haja uma correção disponível. A JPCERT/CC acrescenta que os desenvolvedores do PHP forneceram medidas limitadas de mitigação para o PHP 7.4, 8.0 e 8.1 devido à gravidade das vulnerabilidades.

A mitigação temporária reduz a exposição por determinadas vias de ataque. A JPCERT/CC afirma que a solução para as vulnerabilidades originais é atualizar o software; portanto, as organizações que adotarem configurações temporárias ainda precisam planejar a atualização ou migração necessária para seus sistemas.

Tentativas de ataque aumentam a urgência

A atualização de 26 de outubro da JPCERT/CC para seu alerta sobre vulnerabilidades no PHP informa que surgiram vários códigos de demonstração que alegam explorar as falhas. A entidade também cita relatos recorrentes de tráfego de rede tentando explorá-las.

O sucesso desses códigos depende de fatores como a versão do PHP, o ambiente de execução e a disposição dos dados na memória. A JPCERT/CC alerta que podem surgir novos métodos de ataque e técnicas voltadas a ambientes específicos, e recomenda tanto a atualização quanto a investigação de possíveis invasões.

As orientações de investigação incluem verificar a presença de cookies PHPSESSID excepcionalmente longos ou com formatação incomum, que carregam informações usadas para reconhecer a sessão de um navegador. Outros sinais de alerta incluem solicitações suspeitas com multipart/form-data, formato comumente usado para envios de arquivos, especialmente quando ocorrem perto de erros de limite de memória ou de erros HTTP 500, que indicam um problema no servidor.

Falhas inesperadas ou reinicializações frequentes dos processos de trabalho do PHP também devem ser investigadas. Esses processos são responsáveis por lidar com as tarefas recebidas. A JPCERT/CC também recomenda verificar a existência de processos suspeitos, comunicações externas e arquivos recém-criados, além de manter o monitoramento. Quando houver suspeita de invasão, a entidade aconselha preservar registros e outras evidências, investigar a área afetada e isolar os sistemas conforme necessário.

Uma terceira vulnerabilidade exige mudança de configuração

Os desenvolvedores do PHP divulgaram a CVE-2026-115560 em 23 de outubro, acrescentando outra tarefa à resposta. A JPCERT/CC afirma que essa vulnerabilidade pode permitir a execução de código arbitrário quando se combina uma configuração específica com determinado código de aplicação.

Os desenvolvedores descreveram a configuração afetada como incomum e planejavam corrigir o problema no ciclo normal de lançamentos. Até lá, a JPCERT/CC repassou a recomendação de definir session.upload_progress.enabled=0 e reiniciar todos os processos de trabalho. A atualização de 26 de outubro não informou uma data para o lançamento da correção.

A mesma configuração já havia sido recomendada como medida de mitigação para a CVE-2026-109619. Segundo o alerta, operadores que já a tivessem aplicado não precisariam repetir essa etapa. Ainda assim, as equipes precisam considerar o par original de vulnerabilidades e esse problema adicional ao verificar seus sistemas.

Algumas organizações enfrentam uma decisão maior

As recomendações da IPA vão além do reparo imediato. A agência pede que as organizações avaliem a função que um sistema ainda cumpre, o quanto ele é utilizado e se outro serviço poderia substituí-lo. Para softwares que ficaram sem manutenção, retomar o serviço pode exigir uma decisão sobre quem será responsável por mantê-lo depois.

Gestores e executivos, assim como as equipes técnicas, devem avaliar se dispõem de profissionais, orçamento e acordos de manutenção suficientes para uma atualização ou migração e para manter as operações, afirma a IPA. Quando esse suporte for viável, a agência recomenda realizar a atualização ou migrar para um serviço protegido.

Quando não for possível garantir a manutenção contínua, a IPA lista outras opções: migrar para um produto com suporte, reduzir as funções, encerrar o acesso público ou desativar o sistema. A agência também pede que sejam planejadas a preservação ou transferência dos dados necessários e a comunicação aos usuários sobre alternativas disponíveis.

O desafio prático agora vai da instalação de versões específicas do PHP à restauração de funções individuais para os clientes. A reabertura prevista da loja da Bandai Namco representa uma etapa programada, enquanto os 465 serviços sem anúncios de reabertura confirmados na contagem da Assured mostram quanto ainda faltava verificar publicamente em 26 de outubro.

Principais pontos

• A Assured contabilizou 1.090 suspensões de serviços no Japão até as 15h de 26 de outubro, ante 502 em 23 de outubro.
• Não havia confirmação de anúncios de reabertura para 465 serviços, cerca de 43% do total.
• As vulnerabilidades PHP2shell podem permitir que invasores remotos executem código com as permissões do processo PHP.
• As versões corrigidas para as duas falhas originais são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
• A JPCERT/CC alertou sobre códigos de demonstração publicados e relatos de tentativas de exploração.
• Uma terceira vulnerabilidade exige uma mudança temporária de configuração e a reinicialização de todos os processos de trabalho enquanto uma correção é preparada.
• A Bandai Namco esperava reabrir sua loja de produtos ao meio-dia de 27 de outubro; algumas conexões de fliperama e procedimentos da Daiwa Securities continuavam suspensos em 26 de outubro.