Falha PHP2Shell: cuidados nas compras online

O que aconteceu

Em 21 de outubro, pesquisadores divulgaram duas falhas críticas no PHP, a linguagem que roda uma grande parte da web. Registradas como CVE-2026-109618 e CVE-2026-109619 e apelidadas de PHP2Shell, elas viraram um dos termos de segurança mais pesquisados do dia. O Centro Nacional de Cibersegurança do Reino Unido (NCSC) alertou que a falha pode permitir que atacantes executem comandos em servidores web com PHP, e os responsáveis pelo PHP publicaram correções no mesmo dia.

Os detalhes

Segundo a Cloudflare, as falhas foram divulgadas pela Calif.io, Wiz, OpenAI e Quarkslab e afetam servidores web com PHP 5.4 ou posterior. As duas envolvem a forma como o PHP lida com a memória quando um pedido falha e podem levar a interrupção do serviço, execução remota de código ou exposição de dados. A Malwarebytes informa uma nota de gravidade de 9,2 em 10 e diz que o atacante não precisaria fazer login. As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35; o PHP 8.1 e anteriores já não recebem atualizações de segurança regulares.

O tamanho da exposição

A Cloudflare, citando a W3Techs, diz que quase 70% dos sites usam PHP, e a Malwarebytes lembra que ele sustenta WordPress, Drupal, Joomla e Magento. A Cloudflare ativou regras de firewall cerca de nove horas antes da divulgação pública e diz que já viu tráfego de ataque, com atacantes alterando o código para escapar dos filtros. O NCSC recomenda que as organizações encontrem todas as instalações de PHP, as atualizem e considerem tirar sistemas do ar se não conseguirem corrigir rapidamente. Por isso alguns sites entraram em modo de manutenção esta semana.

Um segundo alerta: certificados comprometidos

A notícia do PHP chegou um dia depois de outro alerta global, que também esteve em alta em Hong Kong. A Cloudflare informou que as chaves privadas de oito certificados intermediários da eMudhra, em que navegadores e sistemas operacionais confiavam amplamente, foram comprometidas. Com essas chaves, um atacante poderia forjar um certificado para qualquer domínio e se passar por um site. A Cloudflare não encontrou exploração ativa nos seus serviços e pediu que erros de certificado nunca sejam "resolvidos" desligando a verificação.

Por que isso importa para os pagamentos

Páginas de pagamento, portais de bancos e os sites de apps de transferência internacional dependem dos mesmos servidores e certificados. Quem compra não precisa instalar nada: as atualizações do PHP são para os donos dos sites, não para o seu aparelho. A Malwarebytes recomenda atenção a conteúdo, downloads, redirecionamentos ou pedidos de login inesperados, mesmo em sites conhecidos, e sair da página se algo parecer errado. Antes de pagar ou fazer uma transferência imediata a partir de um link, confira o endereço do site. Um site fora do ar para manutenção não é, por si só, sinal de violação.

O que observar a seguir

O momento importa. Dados de pesquisa da Captify no Reino Unido, citados pela ExchangeWire, mostram que as pesquisas sobre a Black Friday crescem a partir de outubro e passam de sete vezes o nível normal na semana da Black Friday. Devem surgir mais avisos de atualização de empresas de hospedagem e lojas online nas próximas semanas. Vale acompanhar se alguma violação de dados será ligada ao PHP2Shell quando as investigações terminarem.

O que significa para os clientes da Odix Pay

Os passos abaixo são boas práticas gerais. No app da Odix Pay você pode controlar os seus cartões Odix: congelar um cartão em poucos toques se um pagamento parecer estranho, o que afeta apenas esse cartão, e usar um cartão virtual para compras online. Dependendo do cartão, você aprova pagamentos online no app ou com um código por SMS. A disponibilidade depende do seu país e as tarifas aparecem no app. Mais notícias na redação da Odix Pay.