Suspensões por falhas de segurança no PHP no Japão chegam às 1.090, enquanto os serviços tardam a reabrir

Centenas de serviços continuam à espera de reabrir

A resposta do Japão a duas graves falhas de segurança no PHP perturbou pelo menos 1.090 sites e serviços online, e centenas continuavam sem um anúncio de reabertura a 26 de outubro de 2026. A perturbação chegou às compras online, aos procedimentos de contas financeiras, aos serviços de acolhimento de crianças e aos jogos, enquanto os operadores instalavam correções e verificavam se os sistemas eram seguros para voltar a ligar.

A Assured, uma empresa de Tóquio que fornece informação sobre avaliações de segurança de serviços na nuvem, contabilizou 1.090 suspensões de serviços até às 15h00 de 26 de outubro. A análise baseou-se sobretudo em publicações de contas oficiais na rede X a anunciar interrupções. O total subiu dos 502 registados às 14h00 de 23 de outubro, um aumento de 588, ou cerca de 117%, em aproximadamente três dias.

A Assured não tinha confirmado um anúncio de reabertura para 465 desses serviços. Isso representa cerca de 43% das suspensões registadas. Os números acompanham anúncios públicos, pelo que o estado mais recente desses 465 serviços ainda precisa de ser confirmado junto dos respetivos operadores.

A Bandai Namco Holdings previa reabrir ao meio-dia de 27 de outubro uma loja online de brinquedos e outros produtos, depois de a manutenção ter começado na noite de 21 de outubro. As ligações online de jogos de salão recreativo, incluindo Taiko no Tatsujin, continuavam suspensas. Na Daiwa Securities, algumas funcionalidades do site já tinham sido restabelecidas, mas os pedidos de abertura de contas de investimento NISA e procedimentos como a alteração de morada continuavam indisponíveis às 17h00 de 26 de outubro.

O que podem fazer as falhas PHP2shell

A Agência de Promoção das Tecnologias da Informação do Japão, conhecida como IPA, identificou as vulnerabilidades como CVE-2026-109618 e CVE-2026-109619 no seu alerta de segurança sobre o PHP, publicado a 22 de outubro. A combinação das duas falhas é designada PHP2shell. O PHP é um software utilizado para executar muitos sites e aplicações web, tratando operações nos servidores antes de a informação chegar ao navegador do utilizador.

A CVE-2026-109618 diz respeito ao tratamento de erros quando o PHP fica sem memória. A CVE-2026-109619 está relacionada com o processamento de pedidos enviados a um servidor. A exploração destas falhas poderia permitir que um atacante remoto executasse código arbitrário, ou seja, instruções escolhidas pelo atacante, e não pelo operador do site.

A JPCERT/CC, entidade japonesa de coordenação de incidentes de segurança informática, afirma que esse código poderia ser executado com as permissões do processo PHP. Em termos simples, um atacante poderia passar a executar ações permitidas ao software que opera o site. O alcance dependeria das permissões e da configuração do sistema afetado.

A IPA afirma que as organizações devem consultar a informação dos programadores ou fornecedores dos produtos que utilizam, uma vez que o PHP pode fazer parte de uma aplicação ou serviço mais abrangente. A JPCERT/CC alerta também para a possibilidade de o PHP fornecido através de produtos de software ou distribuições Linux ser afetado, pelo que as orientações dos fornecedores fazem parte da resposta.

Como se propagaram as interrupções

Os operadores começaram a desligar sistemas a 21 de outubro, antes de as atualizações de segurança ficarem disponíveis, por volta das 23h00, hora do Japão. Alguns agiram preventivamente, antes do lançamento, quando a divulgação pública de pormenores sobre as falhas poderia aumentar o risco de ataques.

A sequência mostra como uma atualização urgente de software se transformou em vários dias de interrupções:

• 21 de outubro: BASE, Codmon, Pixiv, DMM.com, niconico e alguns serviços da Sakura Internet entraram em manutenção ou suspenderam funcionalidades. Jogos como Granblue Fantasy e Uma Musume Pretty Derby também foram temporariamente interrompidos.
• 21 de outubro, 21h55: a primeira-ministra Sanae Takaichi apelou a que fossem tomadas medidas urgentes para aplicar as correções e afirmou que a suspensão temporária de sites era uma opção quando a instalação imediata fosse difícil.
• 21 de outubro, por volta das 23h00: foram lançadas atualizações de segurança para o PHP.
• 22 de outubro: a IPA e a JPCERT/CC publicaram alertas com explicações sobre as vulnerabilidades e as respostas recomendadas.
• 23 de outubro: a contagem da Assured chegou às 502 suspensões. Os programadores do PHP divulgaram também outra vulnerabilidade, a CVE-2026-115560.
• 26 de outubro: o total da Assured chegou às 1.090 suspensões, enquanto a JPCERT/CC atualizou o seu alerta com relatos de tentativas de exploração.
• 27 de outubro, meio-dia: a Bandai Namco previa reabrir a loja online de brinquedos e outros produtos.

Porque é que desligar um site passou a ser uma opção

O Gabinete Nacional de Cibersegurança do Japão recomendou que a suspensão temporária de um site poderia reduzir o risco quando os operadores não conseguissem instalar prontamente a correção. Takaichi reiterou essa opção no seu apelo de 21 de outubro. A CERT-EU e o Centro Nacional de Cibersegurança do Reino Unido também instaram à adoção de medidas e apontaram a possibilidade de desligar os sistemas até estarem implementadas as proteções necessárias.

As orientações da IPA definem uma sequência de opções. As organizações devem começar por ponderar proteções temporárias e restrições de acesso enquanto preparam uma atualização ou migração. Se for difícil implementar medidas temporárias eficazes, devem avaliar se bloqueiam o acesso externo ou suspendem o serviço, tendo em conta os potenciais danos e a perturbação da atividade.

Para os clientes, essa escolha significou perder o acesso a funcionalidades do dia a dia enquanto os operadores trabalhavam. Um site de compras poderia deixar de aceitar encomendas, um site financeiro poderia suspender procedimentos relacionados com contas e uma máquina de salão recreativo poderia perder a ligação às funcionalidades online.

Yasuhiro Suzuki, que liderou a investigação da Assured, afirmou que os operadores optavam cada vez mais por suspender serviços para proteger as informações dos clientes, enquanto a demora no regresso dos serviços mostrava como podia ser difícil reabri-los em segurança. A sua avaliação retrata o principal problema operacional: fechar o acesso pode ser rápido, mas restabelecê-lo exige concluir o trabalho subjacente.

Uma correção é apenas parte do processo de reabertura

A interrupção na Bandai Namco ilustra por que motivo os serviços do mesmo grupo empresarial podem regressar em momentos diferentes. O grupo previa reabrir a loja de produtos a 27 de outubro, enquanto as ligações dos jogos de salão recreativo continuavam suspensas. As atualizações dos sistemas necessárias para instalar a correção do PHP estavam a demorar.

Alguns serviços estavam também a ponderar transferir temporariamente dados para servidores de outra empresa cuja segurança tivesse sido verificada. Isso alteraria o local onde o serviço funciona enquanto as equipas trabalham no ambiente afetado, exigindo novos preparativos antes de os clientes poderem voltar a utilizá-lo.

A Daiwa Securities tinha restabelecido partes do seu site, incluindo as perguntas frequentes, mas os pedidos de abertura de contas e as alterações de morada continuavam indisponíveis a 26 de outubro. Assim, uma página informativa funcional coexistia com a interrupção de procedimentos para clientes.

A IPA explica que os sistemas que passam longos períodos sem atualizações podem exigir alterações ao código das aplicações e verificações para confirmar que as funcionalidades continuam a funcionar após a atualização do PHP. A falta de documentação de desenvolvimento, a ausência de pessoal familiarizado com o sistema e os contratos de manutenção expirados podem dificultar o trabalho. A JPCERT/CC recomenda testes adequados, seguidos da instalação rápida das versões corrigidas.

Que versões exigem atenção?

A IPA e a JPCERT/CC identificam quatro versões corrigidas do PHP para o par original de vulnerabilidades: PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. As versões anteriores de cada uma destas séries são afetadas. Os operadores têm de escolher a correção adequada à série do PHP utilizada pelo sistema e consultar as orientações do fornecedor do software ou do sistema operativo.

As instalações mais antigas apresentam outro problema. A IPA cita uma conclusão da empresa de segurança Wiz segundo a qual as versões a partir do PHP 5.4 são afetadas por pelo menos uma das duas vulnerabilidades. O PHP 8.1 e as versões anteriores chegaram ao fim do período de suporte, o que significa que já não recebem a manutenção habitual disponibilizada para as versões ainda suportadas.

A IPA recomenda a migração para versões do PHP ainda suportadas ou para produtos e serviços com proteções implementadas, quando não houver uma correção disponível. A JPCERT/CC acrescenta que os programadores do PHP disponibilizaram medidas de mitigação limitadas para o PHP 7.4, 8.0 e 8.1 devido à gravidade das vulnerabilidades.

A mitigação temporária reduz a exposição através de determinadas vias de ataque. A JPCERT/CC afirma que a atualização é a solução para as vulnerabilidades originais, pelo que as organizações que utilizem configurações temporárias continuam a ter de planear a atualização ou migração de software necessária para os seus sistemas.

As tentativas de ataque aumentam a urgência

A atualização de 26 de outubro da JPCERT/CC ao seu aviso sobre vulnerabilidades no PHP afirma que tinham surgido numerosos fragmentos de código de demonstração que alegavam explorar as falhas. Refere também relatos repetidos de tráfego de rede que tentava explorá-las.

O sucesso desse código depende de fatores como a versão do PHP, o ambiente de execução e a disposição dos dados na memória. A JPCERT/CC alerta para a possibilidade de surgirem outros métodos de ataque e técnicas dirigidas a ambientes específicos, e recomenda tanto a atualização como a investigação de possíveis comprometimentos.

As orientações de investigação incluem a verificação de cookies PHPSESSID invulgarmente longos ou com formatação estranha, que contêm informações utilizadas para reconhecer a sessão de um navegador. Outros sinais de alerta incluem pedidos suspeitos que utilizem multipart/form-data, um formato habitualmente utilizado para carregamentos, sobretudo quando ocorrem perto de erros de limite de memória ou de erros HTTP 500, que indicam um problema no servidor.

Falhas inesperadas ou reinícios frequentes dos processos de trabalho do PHP são outro aspeto a investigar. Estes processos tratam as tarefas recebidas. A JPCERT/CC recomenda também a verificação de processos suspeitos, comunicações externas e ficheiros recém-criados, além de uma monitorização contínua. Quando há suspeitas de comprometimento, aconselha a preservação dos registos e de outras provas, a investigação da área afetada e o isolamento dos sistemas, conforme necessário.

Uma terceira vulnerabilidade exige a alteração de uma definição

Os programadores do PHP divulgaram a CVE-2026-115560 a 23 de outubro, acrescentando outra tarefa à resposta. A JPCERT/CC afirma que esta vulnerabilidade pode permitir a execução de código arbitrário quando se verifica uma combinação específica de definições de configuração e código de aplicação.

Os programadores descreveram a configuração afetada como pouco comum e previram lançar uma correção no ciclo normal de versões. Até lá, a JPCERT/CC transmitiu a recomendação de definir session.upload_progress.enabled=0 e reiniciar todos os processos de trabalho. A atualização de 26 de outubro não indicou uma data de lançamento para essa correção.

A mesma definição já tinha sido recomendada como medida de mitigação para a CVE-2026-109619. Segundo o aviso, os operadores que a tivessem aplicado não precisavam de repetir esse passo de configuração. Ainda assim, as equipas têm de ter em conta o par original de vulnerabilidades e este problema adicional ao verificarem os seus sistemas.

Algumas organizações enfrentam uma decisão mais abrangente

As recomendações da IPA vão além da reparação imediata. A agência pede às organizações que analisem a função que um sistema ainda desempenha, o grau de utilização e a possibilidade de outro serviço o substituir. No caso de software que não recebe manutenção há muito tempo, o restabelecimento do serviço pode exigir uma decisão sobre quem lhe dará suporte no futuro.

A IPA afirma que os gestores empresariais e executivos, bem como o pessoal técnico, devem avaliar se conseguem disponibilizar os recursos humanos, o orçamento e os planos de manutenção necessários para uma atualização ou migração e para a operação contínua. Quando esse apoio for viável, a agência recomenda avançar com a atualização ou migrar para um serviço protegido.

Quando não for possível garantir a manutenção contínua, a IPA enumera outras opções: migrar para um produto com suporte, reduzir as funcionalidades, terminar o acesso público ou descontinuar o sistema. A agência apela também à elaboração de planos para preservar ou transferir os dados necessários e explicar aos utilizadores as alternativas disponíveis.

O desafio prático abrange agora desde a instalação de versões específicas do PHP até ao restabelecimento de funcionalidades para clientes. A reabertura prevista da loja da Bandai Namco é um passo já calendarizado, enquanto os 465 serviços sem anúncios de reabertura confirmados na contagem da Assured mostram quanto ainda havia por verificar publicamente a 26 de outubro.

Principais pontos

• A Assured contabilizou 1.090 suspensões de serviços no Japão até às 15h00 de 26 de outubro, face às 502 registadas a 23 de outubro.
• Não tinham sido confirmados anúncios de reabertura para 465 serviços, cerca de 43% do total.
• As vulnerabilidades PHP2shell podem permitir que atacantes remotos executem código com as permissões do processo PHP.
• As versões corrigidas para as duas falhas originais são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
• A JPCERT/CC alertou para a publicação de código de demonstração e para relatos de tentativas de exploração.
• Uma terceira vulnerabilidade exige uma alteração temporária de configuração e o reinício de todos os processos de trabalho enquanto é preparada uma correção.
• A Bandai Namco previa reabrir a loja de produtos ao meio-dia de 27 de outubro; algumas ligações dos jogos de salão recreativo e procedimentos da Daiwa Securities continuavam suspensos a 26 de outubro.