Blog

Na manhã de 21 de outubro de 2026, algo incomum aconteceu na internet: governos e empresas de vários países desligaram seus próprios sites de propósito. Não foi pane nem ataque consumado — foi medo fundado. Pesquisadores haviam encontrado duas falhas gravíssimas no PHP, a linguagem de programação que faz funcionar a maior parte dos sites do mundo, e a informação vazou antes que a correção estivesse pronta. O caso ganhou o apelido de PHP2Shell e chegou ao Brasil: o SEI da Anatel e de tribunais federais saiu do ar por precaução. Nesta postagem, explico o que aconteceu, como ataques desse tipo funcionam, quais crimes eles configuram — agora e nos meses seguintes — e o que cada um de nós pode fazer.

1. Resumo do caso em poucas linhas

Duas falhas no motor do PHP (CVE-2026-109618 e CVE-2026-109619) permitiam que um invasor, sem senha e sem login, executasse comandos no servidor de um site. Na prática, isso equivale a entregar a chave da casa a um estranho. A correção saiu em 21/10/2026, mas quem não atualizou continua exposto — e os efeitos criminosos podem aparecer meses depois.

2. Conceitos objetivos para entender o caso

• PHP: linguagem que roda no servidor e monta as páginas que você vê. Está por trás do WordPress e de sistemas públicos como o SEI. Estima-se que esteja presente em cerca de 70% dos sites com tecnologia identificável.
• Vulnerabilidade: defeito no software que abre uma brecha de segurança. É a “janela mal trancada”.
• Exploit: o método ou programa que aproveita a vulnerabilidade para invadir. É o “pé de cabra”.
• Execução remota de código (RCE): o tipo mais grave de falha. O invasor, à distância, faz o servidor obedecer a ordens dele.
• Prova de conceito (PoC): demonstração de que a falha é real e explorável. No caso PHP2Shell, um vídeo desse tipo vazou antes da hora.
• Patch (correção): atualização que fecha a brecha. Só protege quem instala.
• Zero-day: falha explorada antes de existir correção pública. Houve tentativa de exploração do PHP2Shell quatro dias antes da divulgação. Entenda no nosso guia sobre ataques zero-day.
• Webshell ou porta dos fundos (backdoor): programa que o invasor deixa escondido no servidor para voltar quando quiser — mesmo depois da correção.
• CVE e CVSS: CVE é o “RG” internacional de uma falha; CVSS é a nota de gravidade, de 0 a 10. As duas falhas do PHP2Shell receberam 9,2.
• Ransomware: programa que sequestra (criptografa) os dados e exige resgate, geralmente em criptomoeda. Entenda tudo no nosso guia completo sobre ransomware.
• Divulgação coordenada: combinação entre pesquisadores e mantenedores para só revelar a falha quando a correção estiver pronta. Neste caso, o acordo foi quebrado por vazamento.

3. O que aconteceu: a linha do tempo do PHP2Shell

• 11/08/2026 – O Projeto PHP recebe os primeiros relatos das falhas, identificadas por pesquisadores com apoio de ferramentas de inteligência artificial.
• 17/10/2026 – A Amazon detecta, em sua rede de armadilhas digitais (honeypots), a primeira tentativa de exploração conhecida.
• 20/10/2026 – Os identificadores das falhas vazam em fóruns e redes sociais, e um vídeo de demonstração é publicado por engano. O sigilo cai.
• 21/10/2026 – O PHP antecipa as correções (versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35). Agências como a NSA (EUA) e o NCSC (Reino Unido) emitem alertas; governos da Holanda, Finlândia, Bélgica, França e Alemanha, além de empresas no Japão, na Irlanda e em outros países, retiram serviços do ar. No Brasil, o CTIR Gov publica alerta.
• 23 a 26/10/2026 – O FBI recomenda desligar sistemas que não possam ser corrigidos de imediato; a CISA (EUA) inclui as falhas no catálogo de vulnerabilidades com exploração confirmada.

No Brasil: SEI fora do ar e tribunais em alerta

Por orientação do Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), ligado ao GSI, órgãos federais isolaram temporariamente sistemas em PHP expostos à internet. A Anatel manteve o SEI fora do ar por cerca de dez horas no dia 21; os TRFs da 1ª, 4ª e 6ª Regiões suspenderam o acesso externo; prefeituras como a de Campinas seguiram o mesmo caminho. Documentos urgentes passaram a ser assinados pelo GOV.BR e enviados por e-mail. O Ministério da Gestão informou que a plataforma GOV.BR não foi afetada, e os órgãos que se manifestaram relataram que a medida foi preventiva, sem confirmação de invasão.

4. Classificação: que tipo de ataque é esse?

Diferentemente dos golpes que dependem de enganar uma pessoa (phishing, falsa central), o PHP2Shell é uma exploração de vulnerabilidade de infraestrutura: o alvo é a máquina, não o usuário. A vítima direta é quem mantém o site (órgão público, empresa, profissional liberal); as vítimas indiretas são todos os cidadãos cujos dados estão guardados ali. No Direito Penal brasileiro, o núcleo é a invasão de dispositivo informático (art. 154-A do CP), criada pela Lei 12.737/2012 e endurecida pela Lei 14.155/2021, frequentemente acompanhada de outros crimes — como veremos.

5. Meios e modos de ataque: como uma exploração desse tipo se desenrola

Sem entrar em detalhes técnicos que possam servir a criminosos, o ciclo costuma ter quatro fases:

1. Descoberta e corrida: assim que uma falha grave se torna pública, começa uma corrida entre quem corrige e quem ataca. Especialistas alertam que a inteligência artificial encurtou essa janela: demonstrações funcionais surgiram em poucas horas.
2. Varredura em massa: robôs percorrem a internet procurando servidores que ainda rodam versões vulneráveis. O criminoso não escolhe a vítima pelo nome — escolhe pela porta aberta. Um site pequeno de clínica ou de prefeitura do interior é tão “interessante” quanto o de uma multinacional.
3. Invasão e permanência: explorada a falha, o invasor passa a dar ordens ao servidor e, com frequência, instala uma porta dos fundos. Um ponto preocupante apontado por analistas: como a falha está no motor da linguagem, os registros de aplicações como WordPress ou Laravel podem não mostrar o ataque.
4. Monetização: o acesso vira dinheiro — cópia e venda de bancos de dados, sequestro por ransomware, revenda do acesso a outras quadrilhas, instalação de páginas falsas dentro do site legítimo, roubo de dados de cartão em lojas virtuais, uso do servidor para mineração de criptomoedas ou para disparar novos ataques.

6. Os crimes praticados no ataque — capitulação penal

A capitulação depende do que o agente efetivamente fez e de sua finalidade. Os enquadramentos mais prováveis são:

Pontos de atenção:

• Ação penal: pelo art. 154-B, a regra é a ação condicionada à representação; mas, se o crime atingir a administração pública direta ou indireta, de qualquer dos Poderes, ou concessionárias de serviços públicos, a ação é pública incondicionada — o caso típico de ataques a sistemas como o SEI.
• Autoridades como vítimas: o § 5º do art. 154-A aumenta a pena de 1/3 à metade quando o crime atinge chefes de Poder, governadores, prefeitos ou dirigentes máximos da administração direta e indireta.
• Insiders: se um funcionário público usar o caos para inserir dados falsos ou alterar sistemas, entram em cena os arts. 313-A e 313-B do CP.
• Cenários extremos: ataques a serviços essenciais com motivação terrorista podem atrair a Lei 13.260/2016 (art. 2º, § 1º, IV); com a finalidade de abolir o Estado Democrático de Direito, o crime de sabotagem (art. 359-R do CP). Ambos exigem finalidade específica — não basta o dano.
• Pesquisador não é criminoso: o tipo do art. 154-A exige ausência de autorização. Quem testa sistemas com autorização (contrato, programa de recompensas, bug bounty) e comunica a falha de forma responsável não pratica o crime — foi exatamente assim que o PHP2Shell foi descoberto.

7. Os crimes que vêm depois: o efeito cascata

O maior perigo de uma falha como essa não é o dia em que ela aparece no noticiário. É o que acontece semanas ou meses depois, quando dados copiados em silêncio começam a ser usados. Os crimes futuros mais prováveis são:

• Golpes com dados reais: falsas centrais de banco, de órgão público ou de loja que já sabem seu nome, CPF e histórico — muito mais convincentes. Enquadramento: fraude eletrônica (art. 171, § 2º-A, CP — reclusão de 4 a 8 anos), com aumento se a vítima for idosa ou vulnerável (§ 4º) ou se o servidor estiver no exterior (§ 2º-B).
• Desvio de valores de contas: uso de credenciais vazadas para movimentar dinheiro — furto mediante fraude eletrônica (art. 155, § 4º-B, CP — reclusão de 4 a 8 anos).
• Páginas falsas dentro de sites verdadeiros: o criminoso esconde uma página de phishing no endereço de uma prefeitura ou empresa legítima. O usuário confia porque o endereço é conhecido.
• Roubo de cartões em lojas virtuais: código malicioso que captura os dados digitados no pagamento.
• Ransomware tardio e dupla extorsão: o acesso obtido agora é revendido e usado depois para sequestrar dados e ameaçar divulgá-los (arts. 154-A e 158 do CP).
• Golpes que surfam na notícia: e-mails e mensagens de “suporte técnico” oferecendo “corrigir o PHP2Shell”, “verificar se seu site foi afetado” ou exigindo “atualização urgente” de cadastro bancário.
• Falsidades e fraudes documentais: dados de servidores públicos ou de processos usados para montar documentos e cobranças falsas (ex.: falso boleto de tributo — art. 171 e, conforme o caso, arts. 297/298 do CP).

8. Gatilhos psicológicos que os golpistas vão explorar

• Medo: “seus dados foram expostos no ataque hacker”.
• Urgência: “atualize em até 2 horas ou sua conta será bloqueada”.
• Autoridade: mensagens que imitam CTIR Gov, Anatel, tribunais, bancos ou a própria polícia.
• Confiança no conhecido: a página falsa aparece dentro de um site que você já usa.

9. Sinais de alerta (checklist)

• ☐ Site conhecido que, de repente, redireciona para outro endereço ou abre janelas estranhas.
• ☐ Pedido repetido de login ou de dados de cartão em página que antes não pedia.
• ☐ Download automático de arquivo ao entrar em uma página.
• ☐ Ligação ou mensagem citando seus dados corretamente e pedindo código, senha, PIX ou “confirmação”.
• ☐ E-mail de “suporte” oferecendo correção do PHP2Shell sem você ter contratado ninguém.
• ☐ Para quem administra site: arquivos que você não criou, usuários administradores desconhecidos, lentidão sem explicação, alerta do provedor ou do Google de site comprometido.

10. Prevenção: o que fazer agora

Para você, cidadão

• Você não precisa instalar nada no celular ou no computador por causa do PHP2Shell — a correção é feita no servidor dos sites. Desconfie de quem diz o contrário.
• Ative a verificação em duas etapas (de preferência por aplicativo, não por SMS) em e-mail, WhatsApp, banco e redes sociais.
• Não reutilize senhas; use um gerenciador de senhas.
• Nunca informe códigos, senhas ou faça PIX em resposta a ligação ou mensagem recebida — encerre e ligue você mesmo para o número oficial.
• Consulte periodicamente o Registrato, do Banco Central, para ver contas e empréstimos abertos em seu nome.

Para donos de sites, profissionais liberais e pequenos negócios

• Atualizar o WordPress não é atualizar o PHP. Pergunte à sua hospedagem, por escrito, qual versão do PHP seu site usa e se ela já recebeu a correção de outubro de 2026.
• Versões antigas (8.1 ou anteriores) não recebem mais correções de rotina do projeto PHP: planeje a migração.
• Use um firewall de aplicação web (WAF) — serviços de proteção ativaram regras contra o PHP2Shell no próprio dia 21.
• Mantenha cópias de segurança fora do servidor e teste a restauração.
• Retire do ar sites abandonados, páginas de campanhas antigas e sistemas que ninguém mais usa: são as portas esquecidas que os robôs encontram.

Para órgãos públicos e empresas

• Faça inventário de tudo o que roda PHP, inclusive atrás de CDNs, proxies e em equipamentos com painel de administração web.
• Aplique as correções e, se não for possível, isole o sistema — foi o que recomendaram NSA, FBI e CTIR Gov.
• Corrigir não basta: verifique se o servidor já foi comprometido antes do patch (portas dos fundos, contas novas, conexões estranhas).
• Tenha um plano de resposta a incidentes com papéis definidos: TI, jurídico, encarregado de dados (DPO), comunicação.

11. Já fui vítima — o que fazer

Se você, cidadão, sofreu um golpe derivado

1. Banco primeiro: ligue imediatamente pelos canais oficiais e, se houve PIX, peça a abertura do MED (Mecanismo Especial de Devolução). Quanto mais rápido, maior a chance de bloquear o dinheiro.
2. Preserve as provas: prints com endereço (URL), data e hora; não apague conversas, e-mails ou números.
3. Registre boletim de ocorrência (presencial ou na delegacia virtual do seu estado).
4. Denuncie à plataforma usada no golpe e troque as senhas das contas afetadas.
5. Consulte o Registrato (BCB) e, em problemas com empresas, registre reclamação no consumidor.gov.br.

Se o seu site, empresa ou órgão foi invadido

1. Isole, mas não apague: tire o sistema da rede sem formatar. Registros e arquivos são a prova do crime.
2. Acione a equipe técnica ou empresa de resposta a incidentes e documente cada passo (cadeia de custódia).
3. Registre a ocorrência na Polícia Civil ou, se o alvo for órgão federal, na Polícia Federal. Órgãos federais também notificam o CTIR Gov; incidentes em geral podem ser reportados ao CERT.br.
4. Se houve dados pessoais envolvidos com risco relevante, comunique a ANPD e os titulares (art. 48 da LGPD) — o regulamento da ANPD fixa prazo de 3 dias úteis.
5. Não pague resgate sem orientação jurídica e policial: não há garantia de devolução e o pagamento financia a próxima vítima.

12. Repressão: como a polícia investiga um ataque desse tipo

• Competência: ataques a bens, serviços ou interesses da União (como o SEI de tribunais federais e agências reguladoras) atraem a Justiça Federal (art. 109, IV, da CF) e a Polícia Federal; nos demais casos, Polícia Civil e Justiça Estadual.
• Rastros digitais: o Marco Civil da Internet obriga provedores a guardar registros de conexão (1 ano) e de acesso a aplicações (6 meses); com ordem judicial, esses registros ajudam a chegar ao autor.
• Prova íntegra: cópias forenses, cálculo de hash e respeito à cadeia de custódia (arts. 158-A e seguintes do CPP) são decisivos para a prova resistir no processo.
• Cooperação internacional: como servidores e criminosos costumam estar em outros países, a Convenção de Budapeste (promulgada pelo Decreto 11.491/2023) facilita a preservação urgente de dados no exterior.
• Rastreamento financeiro: resgates e lucros em criptoativos deixam trilhas em blockchain que podem ser seguidas até corretoras, onde a identificação do titular é possível.

13. Públicos mais vulneráveis

• Prefeituras, câmaras e pequenos órgãos: sistemas antigos, sem equipe dedicada e sem atualização há anos — e guardando dados sensíveis da população.
• Pequenas empresas, clínicas, escritórios e lojas virtuais: acreditam que “ninguém vai atacar um site pequeno”, mas a varredura é automática e indiscriminada.
• Idosos: alvo preferencial dos golpes derivados que usam dados vazados. Converse com seus pais e avós: banco nenhum pede senha ou PIX por telefone.

14. Fatos semelhantes reais

STJ, novembro de 2020: o tribunal parado por ransomware

Em 3 de novembro de 2020, durante as sessões de julgamento, a rede do Superior Tribunal de Justiça foi atacada. Segundo a imprensa especializada, mais de mil máquinas virtuais foram criptografadas pelo ransomware RansomEXX; os prazos foram suspensos, o tribunal funcionou em regime de plantão e os sistemas ficaram cerca de dez dias fora do ar. O STJ informou que os dados estavam preservados em backup, e a Polícia Federal foi acionada. É o exemplo clássico de por que backup íntegro e isolado salva instituições.

Ministério da Saúde e Operação Dark Cloud (2021–2022)

Em dezembro de 2021, o grupo autodenominado Lapsus$ invadiu o ambiente em nuvem do Ministério da Saúde e deixou o ConecteSUS fora do ar por quase duas semanas, alegando ter copiado e apagado dados. A Polícia Federal deflagrou a Operação Dark Cloud em agosto de 2022 e, em outubro do mesmo ano, prendeu em Feira de Santana (BA) um suspeito de integrar o grupo. Segundo a PF, foram apurados organização criminosa, invasão de dispositivo informático e interrupção de serviço telemático (art. 266 do CP), além de corrupção de menores e lavagem de dinheiro — praticamente o mesmo quadro de capitulação que um ataque via PHP2Shell pode gerar.

Log4Shell, dezembro de 2021: o precedente mundial

A falha Log4Shell, em uma biblioteca de registro usada por milhões de sistemas em Java, recebeu nota máxima de gravidade e também permitia execução remota de código. A agência americana CISA emitiu diretiva de emergência obrigando órgãos federais a corrigir ou retirar do ar os sistemas afetados, e grupos de ransomware passaram a explorá-la. A lição se repete com o PHP2Shell: quando um componente onipresente falha, o problema deixa de ser de uma empresa e passa a ser de toda a internet.

15. Caso hipotético (fictício): o servidor esquecido de Vale Verde

Os fatos a seguir são inventados, para fins didáticos. Qualquer semelhança é coincidência.

A Prefeitura de Vale Verde mantinha, num servidor antigo, o portal de emissão de IPTU — nunca atualizado. Em 22/10/2026, “Kaio”, integrante de um grupo criminoso, encontra o servidor por varredura automática, explora a falha e deixa uma porta dos fundos escondida (art. 154-A, § 3º — controle remoto não autorizado, com ação penal incondicionada por se tratar de administração pública). Copia o cadastro de 40 mil contribuintes e o vende a outra quadrilha (§ 4º — aumento pela comercialização). Em fevereiro de 2027, os compradores disparam boletos falsos de IPTU com nome, endereço e valor corretos; centenas de moradores pagam (art. 171, § 2º-A — fraude eletrônica, com aumento para vítimas idosas). Em março, o grupo de Kaio volta pela mesma porta, criptografa o sistema e exige resgate em criptomoeda (art. 158 — extorsão), derrubando o atendimento ao público (art. 266, § 1º). A estrutura com chefe, programador e “lavador” configura organização criminosa (Lei 12.850/2013), e a conversão do resgate em bens, lavagem de dinheiro (Lei 9.613/1998). E a prefeitura, que não atualizou o sistema nem comunicou o incidente, responde administrativamente perante a ANPD.

Moral do caso: a invasão aconteceu em outubro; o prejuízo do cidadão só apareceu em fevereiro. Por isso, corrigir a falha sem investigar se ela já foi usada é trancar a porta com o ladrão dentro de casa.

Fontes consultadas

• Risco de ataque hacker faz governos e empresas derrubarem sites — Bom Dia Brasil / g1, TV Globo, outubro de 2026.
• PHP2Shell: o que você precisa saber sobre duas falhas críticas no PHP — WeLiveSecurity (ESET), outubro de 2026.
• Falhas no PHP chegam ao Brasil e fazem Anatel e tribunais suspenderem sistemas — Canaltech, 21/10/2026.
• Falhas no PHP derrubam sistemas no Brasil e no exterior — SBT News, outubro de 2026.
• Falha global na internet atinge o Brasil e tira serviços públicos do ar — IstoÉ, outubro de 2026.
• Campinas suspende acesso ao SEI após alerta de falhas críticas no PHP — Band, 22/10/2026.
• Vulnerabilidades críticas do PHP colocam milhões de sites em todo o mundo em risco — Kaspersky, outubro de 2026.
• PHP2Shell: Why many websites had to go offline — Malwarebytes, outubro de 2026.
• Advisory: PHP2Shell Vulnerabilities (CVE-2026-109618, CVE-2026-109619) — Sophos, 21/10/2026, atualizado em 28/10/2026.
• php2shell: Frequently asked questions about critical PHP remote code execution vulnerabilities — Tenable, outubro de 2026.
• PHP2Shell Could Put Millions of Websites at Risk: NSA Urges Immediate Patching — ClearanceJobs, 23/10/2026.
• Como uma falha crítica no PHP pode expor aplicações corporativas na nuvem — Santo Digital, outubro de 2026.
• STJ sofre ataque hacker e suspende prazos — Consultor Jurídico, 04/11/2020.
• Estrago dos hackers no STJ foi grande — Baguete, 06/11/2020.
• PF faz operação contra grupo cibercriminoso que atacou Ministério da Saúde — Canaltech, 16/08/2022.
• PF prende criminoso brasileiro do Lapsus$ Group — TecMundo, 19/10/2022.
• Apache Log4j Vulnerability Guidance — CISA (EUA), dezembro de 2021.

Leia também

• Ataque Zero-Day: a falha que nem o fabricante conhece
• Ransomware: o sequestro de dados que paralisa empresas, hospitais e tribunais (guia completo)
• Convenção de Budapeste: o tratado que mudou a investigação de crimes cibernéticos no Brasil
• O que é Cyber Extorsão, como funciona e como se proteger
• Seu robô aspirador pode estar vigiando sua casa: como criminosos invadem aparelhos conectados
• Boleto falso: como o golpe funciona, como conferir antes de pagar e como a polícia chega aos golpistas
• “Seu celular está com vírus!”: o falso alerta que transforma o susto em golpe
• O número na tela não prova nada: o guia completo do spoofing

Chamada para Mentoria

Invasão de dispositivo informático, fraude eletrônica, extorsão digital, competência da Justiça Federal e cadeia de custódia da prova digital estão entre os temas que mais crescem nas provas para Delegado de Polícia — e casos como o PHP2Shell são matéria-prima perfeita para questões discursivas e peças práticas.

Se você quer se preparar com quem vive a investigação no dia a dia, conheça a Mentoria para Concurso de Delegado de Polícia: planejamento de estudos, treino de peças e acompanhamento individual até a aprovação.

Sobre o Autor

Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá e Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. Professor de Medicina Legal e escritor, é mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua como mentor de carreiras policiais e de futuros Delegados de Polícia.