Toda equipe de segurança conhece bem esse momento: uma vulnerabilidade crítica é divulgada, e a primeira pergunta já não é: “O que precisamos corrigir?” E sim: “O que está nos protegendo até que façamos isso?”
Com o PHP2Shell, os defensores nem sequer tiveram a vantagem inicial de costume. Os detalhes vazaram em 20 de outubro, antes que houvesse qualquer correção, e, segundo relatos, invasores já estavam explorando a falha antes que as correções fossem lançadas no dia seguinte.
Em 21 de outubro, o projeto PHP lançou correções emergenciais para CVE-2026-109618 e CVE-2026-109619, duas falhas de execução remota de código sem autenticação que afetam quase todos os servidores PHP na internet. O invasor não precisa fazer login. Basta conseguir acessar o servidor e enviar uma solicitação de upload de arquivo especialmente criada para fazer o PHP ficar sem memória durante o processamento. Em seguida, o PHP confia na memória corrompida que resta, e o invasor pode manipulá-lo para executar seu próprio código, tudo isso antes mesmo que uma única linha da aplicação seja executada. Isso significa que a solicitação precisa ser bloqueada antes mesmo de chegar ao PHP.
As falhas existem há décadas. A novidade é a forma como se tornou possível explorá-las. Nas palavras dos pesquisadores da Wiz que as divulgaram, “Os modelos de IA de ponta reduziram substancialmente essa barreira, transformando uma falha antiga em um exploit.”
Quando a IA reduz o tempo necessário para transformar uma vulnerabilidade antiga em um exploit funcional, a proteção precisa estar implementada antes mesmo da publicação do alerta.
Para os clientes da F5 que executam o F5 WAF no modo de bloqueio, seja no F5 BIG-IP, no F5 NGINX ou no F5 Distributed Cloud, a proteção já estava implementada.
O WAF com tecnologia de IA já estava bloqueando isso
Os engenheiros de segurança da F5 usaram o exploit de prova de conceito publicado, criaram diversas variantes dele e as enviaram a uma aplicação protegida pelo F5 WAF for Distributed Cloud com o WAF baseado em IA ativado. Eles não adicionaram nada específico para o PHP2Shell nem fizeram alterações na configuração.
As variantes usaram diferentes codificações, posicionamentos de payload, métodos HTTP e técnicas comuns de evasão. O WAF com tecnologia de IA as deteve no modo de bloqueio. Isso é proteção de verdade, não uma entrada de log que alguém só lê na manhã seguinte. Enquanto isso, uma solicitação normal para a mesma aplicação passou sem problemas.
Veja como uma dessas solicitações bloqueadas apareceu no F5 WAF for Distributed Cloud:
Bloqueio com confiança, não com medo
Detectar um ataque e ter confiança suficiente para bloqueá-lo são duas coisas diferentes. Muitas equipes de segurança mantêm novas detecções no modo somente alerta, pois bloquear a solicitação errada significa rejeitar um cliente real. Para essas equipes, um ataque como o PHP2Shell é registrado, mas não impedido.
O WAF com tecnologia de IA muda esse cenário. Em sua essência, há uma rede neural — um tipo de modelo de aprendizado de máquina — treinada com dados de ataques reais provenientes das operações globais de segurança da F5. Como aprende com padrões de ataque em vez de esperar por uma nova regra, ela consegue reconhecer um exploit inédito que se comporte como ataques já observados. Para cada solicitação suspeita, ela compara os elementos que parecem maliciosos com o que aprendeu, determina se o conteúdo é realmente nocivo e retorna uma única avaliação de risco, sobre a qual o WAF age imediatamente.
Para o PHP2Shell, o veredito foi 95 de 100. As solicitações maliciosas foram bloqueadas imediatamente, enquanto o tráfego legítimo continuou fluindo.
Essa é a mudança que realmente importa para a empresa. Ao operar no modo de bloqueio, você pode bloquear com confiança. Não é preciso se preocupar com a possibilidade de a segurança desacelerar os negócios ou de a sua central de atendimento ficar sobrecarregada com reclamações de clientes que foram bloqueados indevidamente.
Há mais uma boa notícia. Antes, as equipes evitavam ativar regras de detecção mais propensas a falhas por receio de falsos positivos. Essa recomendação não se aplica mais. A F5 recomenda ativar a detecção em todos os níveis de precisão (alto, médio e baixo) e bloquear as solicitações que o WAF com tecnologia de IA classificar como de risco alto ou médio. Assim, o modelo analisa todos os sinais disponíveis e se encarrega de filtrar os falsos alarmes.
O patching virtual elimina a janela de exposição
O PHP2Shell não é um caso isolado. De acordo com o Relatório M-Trends 2026 da Mandiant, atualmente os invasores exploram vulnerabilidades, em média, cerca de sete dias antes de uma correção estar disponível. Do outro lado dessa lacuna, o Relatório de Investigações de Violações de Dados de 2024 da Verizon constatou que as organizações levam cerca de 55 dias para corrigir até mesmo metade das vulnerabilidades críticas que sabidamente estão sendo exploradas. Somando esses fatores, a maioria das organizações fica exposta por semanas.
O patch virtual é a forma de cobrir essa lacuna. Não se trata de uma funcionalidade específica de um produto, mas de um conceito: qualquer recurso que neutralize o efeito de uma vulnerabilidade sem atualizar o próprio software vulnerável. Uma assinatura de WAF que bloqueia um exploit é um patch virtual. O mesmo vale para uma regra de política de segurança criada para uma falha específica e para um modelo que reconhece o ataque como tal. Em todos os casos, o tráfego malicioso é interrompido no caminho dos dados e nunca chega ao código vulnerável, enquanto os desenvolvedores corrigem o problema real por meio do processo normal de controle de mudanças.
Foi isso que aconteceu com o PHP2Shell. O F5 WAF no F5 Distributed Cloud, F5 BIG-IP, e no F5 NGINX já oferecia proteção por meio de assinaturas existentes, antes mesmo de haver qualquer regra específica para o PHP2Shell.
Como acreditamos na defesa em profundidade, a equipe de pesquisa de ameaças da F5 não parou por aí. A equipe lançou assinaturas específicas para as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 nesses produtos, adicionando ainda mais proteção àquela que os clientes já tinham. Os detalhes das assinaturas e a disponibilidade por produto estão no Aviso de Segurança da F5.
O próximo já está escrito
O PHP2Shell é uma prévia do que está por vir: falhas com mais de uma década sendo transformadas em exploits funcionais na velocidade da IA — e a próxima chegará ainda mais rápido. As defesas que esperam por uma nova regra após a divulgação continuarão perdendo o primeiro round. Veja como se preparar para esta ameaça e para a próxima:
- Aplique as correções do PHP quando suas operações permitirem. A maioria das equipes não consegue atualizar todos os servidores da noite para o dia, e é exatamente essa lacuna que o patch virtual foi criado para cobrir.
- Certifique-se de que seu WAF esteja bloqueando, e não apenas monitorando. Um WAF no modo de monitoramento registra um ataque, mas não o impede. Verifique se as políticas que protegem aplicações PHP estão no modo de bloqueio.
- Ative o WAF com tecnologia de IA e forneça a ele todos os sinais. Habilite a detecção em todos os níveis de precisão, bloqueie solicitações de risco alto e médio e confirme se as assinaturas específicas do PHP2Shell estão ativas.
- Aplique as assinaturas dedicadas do PHP2Shell à medida que forem disponibilizadas, e acompanhe a disponibilidade para seus produtos no Aviso de Segurança da F5.
- Procure sinais de tentativas de exploração. Analise o tráfego recente em busca de solicitações multipart incomuns seguidas de erros de limite de memória do PHP ou respostas HTTP 500 recorrentes. Procure também cookies de resposta PHPSESSID inesperadamente grandes e reinicializações inexplicáveis de processos de trabalho do PHP.
- Reduza a superfície de ataque. Restrinja os limites de tamanho de solicitações e uploads e desative os endpoints de upload dos quais seus aplicativos PHP não precisam.
Você não pode controlar quando a próxima vulnerabilidade será divulgada. Mas pode controlar se estará preparado quando isso acontecer.
Saiba mais sobre a pontuação de risco com tecnologia de IA e o WAF com tecnologia de IA.
O Aviso de Segurança da F5 contém informações oficiais e atualizadas sobre o impacto nos produtos, IDs de assinaturas, medidas de mitigação e a disponibilidade de patches futuros.
Sobre os autores
Muhammad Abid é Diretor Sênior de Marketing de Produtos para Segurança de Aplicações e WAAP na F5. Com mais de 20 anos de experiência na expansão de negócios de redes e segurança cibernética na Netskope, Cisco, Juniper e Fortinet, Muhammad é responsável pelo portfólio unificado de WAAP da F5, que abrange WAF, segurança de APIs, defesa contra bots e criptografia pós-quântica.
Mais publicações de Muhammad AbidPublicações relacionadas no blog
Segurança de APIs sem concessões: apresentamos novas opções flexíveis de descoberta com F5 API security
As opções ampliadas de descoberta de APIs da F5 foram desenvolvidas para oferecer o máximo de flexibilidade e atender às organizações onde quer que estejam.
Governe sua IA no presente e antecipe o futuro da sua IA
Aprenda com nosso CISO de campo, Chuck Herrin, como se preparar para o novo desafio de proteger modelos e agentes de IA.
Segurança de IA para a cadeia de suprimentos
As cadeias de suprimentos são cada vez mais impulsionadas pela IA — desde a previsão de demanda e o planejamento logístico até a análise de riscos de fornecedores e a gestão de estoque em tempo real. Essas ferramentas ajudam as empresas a reduzir custos, aumentar a resiliência e se adaptar a disrupções globais. No entanto, elas também criam novos riscos em um vasto ecossistema: nossas soluções de segurança de IA em tempo de execução protegem o setor de Cadeia de Suprimentos […]
Segurança de IA para Recursos Humanos
A IA está revolucionando o RH. As empresas estão implementando copilotos de recrutamento com IA, assistentes de integração, chatbots de suporte aos funcionários e ferramentas de análise da força de trabalho para reduzir custos e melhorar a experiência dos colaboradores. No entanto, as aplicações de RH também apresentam riscos específicos que podem expor as organizações a falhas de conformidade, alegações de viés e danos à reputação: nossas soluções de segurança de IA em tempo de execução protegem o setor de RH com […]
Equilibrando o desempenho da IA e a gestão de recursos
As organizações dependem cada vez mais de ferramentas e iniciativas de IA para impulsionar a inovação e a transformação. Cada avanço incremental na sofisticação das ferramentas de IA torna o equilíbrio entre desempenho e gestão de recursos um desafio maior e mais relevante para as equipes de TI e segurança. No entanto, esse equilíbrio é essencial para maximizar o ROI, garantir a segurança e manter a eficiência em toda a […]
Integração de APIs em IA: a base técnica
A integração de APIs é um canal essencial no ecossistema de IA, por meio do qual diferentes sistemas, plataformas e aplicações interagem. Analisamos as nuances técnicas da integração de APIs em IA, com ênfase em sua importância para aprimorar a eficiência e os recursos dos sistemas de IA. As APIs permitem a troca fluida de dados e funcionalidades entre diferentes soluções de IA […]