Cisco, Palo Alto Networks e NTT se mobilizam após a crise do PHP2Shell

A crise do PHP2Shell chegou à camada de infraestrutura e de serviços. Segundo a fonte, pesquisadores que trabalham com modelos de IA da OpenAI e do Google encontraram duas falhas críticas no PHP. O número é pequeno, mas o raio de impacto é grande: sites, aplicações e produtos corporativos. As falhas podem permitir código malicioso em servidores vulneráveis, acesso a dados sensíveis e controle dos sistemas afetados.

Palo Alto Networks confirmou impacto em várias versões do PAN-OS, nos firewalls PA-Series e VM-Series e no Panorama. A interface de gerenciamento HTTPS e a XML API ficaram em risco, e a empresa classificou a severidade como alta. Os patches dos serviços Cortex XCore SaaS e WildFire Cloud saíram na semana passada, e os hotfixes do PAN-OS seguem até 30 de outubro. A Cisco disse que a maioria dos produtos de rede e segurança não é vulnerável. Foram afetados Ultra-Reliable Wireless Backhaul, Expressway Series, Expressway Select Series e Duo Access Gateway. Só o Duo Access Gateway tem correção; os demais aguardam patch, e alguns componentes de SD-WAN e núcleo móvel seguem em análise.

No Japão, a NTT DoCoMo suspendeu por precaução serviços públicos de alerta, como o J-Alert, previsões de enchentes e avisos municipais de evacuação. Alertas de terremoto e tsunami continuaram no ar durante as 48 horas, e tudo foi restabelecido em 25 de outubro. A NTTPC Communications desativou portais de administração, painéis de controle de VMs e APIs de clientes em seus serviços de nuvem. As VMs existentes continuaram rodando, e a volta das interfaces é esperada só para o início de novembro. Mihoko Matsubara, estrategista de cibersegurança da NTT, disse que defensores de infraestrutura crítica já tinham dificuldade em aplicar patches sem gerar downtime, e que a IA tende a trazer mais casos.

Em 22 de outubro de 2026, o CEVIU noticiou "PHP lança correções emergenciais para dois zero-days explorados e sites podem sofrer quedas" e, no mesmo dia, "PHP lança atualização de segurança que corrige duas vulnerabilidades críticas". Em 23 de outubro de 2026, em "PHP2Shell: fornecedores e agências reagem a falhas de execução remota de código no PHP", o foco eram as CVE-2026-109618 e CVE-2026-109619, com correções do PHP em 21 de outubro. Em 26 de outubro de 2026, "PHP-ocalypse: duas falhas críticas no PHP permitem execução remota de código sem autenticação" apontava setores expostos, como bancos, varejistas e hospitais. A novidade agora é o efeito em fornecedores de infraestrutura (Palo Alto, Cisco) e em serviços da NTT, com patches ainda pendentes e interfaces de nuvem fora do ar até novembro.

Para quem opera TI corporativa, a leitura é que o risco não está só nos servidores PHP próprios. Firewalls, gateways de acesso e consoles de gerenciamento de fornecedores também entram no inventário. Isso pede mapear dependências de PHP em produtos de terceiros, acompanhar o cronograma de patches de cada fornecedor e prever como operar sem portais de nuvem, como no caso da NTTPC. A fala de Matsubara sugere que esse ritmo de correções deve se repetir, o que torna o processo de patch sem downtime uma questão de arquitetura.