Binadit · 3 novembro 2026

As coisas correram bem durante anos, até que a IA começou a investigar por que vazamentos antigos são agora um risco para sua empresa

O vazamento no PHP estava lá há cerca de 14 anos. Um vazamento no Linux 9 anos. Enquanto isso, o software continuava girando e tudo parecia estar indo bem. Até que a IA tornou a busca por erros muito mais rápida. Isso muda um pressuposto fixo de muitos empreendedores: o que correu bem por muito tempo não continua indo bem por conta própria.

OpenBSD, 27 anos
FFmpeg, 16 anos
PHP, cerca de 14 anos
Linux, falha na cópia, 9 anos
Linux, CVE-2026-31695, quase 5 anos

Velhos erros estão agora vindo à tona

Este não é um software de hobby desconhecido. É um software no qual empresas, governos e grande parte da web são executados. Milhares de desenvolvedores olharam para ele e, no entanto, esses erros persistiram por anos.

PHP: 14 anos sem nada acontecendo

Os vazamentos que ficaram conhecidos como PHP2Shell, CVE-2026-109618 e CVE-2026-109619, estavam no código desde o PHP 5.4 em 2012. Uma variante limitada já foi encontrada em 2024, mas não foi considerada importante na época. Em agosto de 2026, grupos de pesquisa encontraram os erros com a ajuda da IA. Então foi rápido. Dentro de cerca de uma semana, havia ataques de trabalho no WordPress e no Drupal prontos para a investigação. Em 21 de outubro, as atualizações chegaram e a Cloudflare viu dezenas de milhares de tentativas de ataque, depois milhões, em 45 minutos. A Palo Alto Networks tinha 22,6 milhões de instalações potencialmente vulneráveis. Na Holanda, os sites governamentais, de saúde e de notícias ficaram temporariamente offline em antecipação aos patches. Ficar offline não significa que um site foi hackeado, muitas vezes era uma precaução. Em 22 de outubro, o NCSC disse que ainda não havia visto nenhum abuso em sites holandeses.

Linux: mesmo padrão

O Copy Fail, CVE-2026-31431, estava no kernel do Linux desde 2017 e foi encontrado com a ajuda da IA. Isto permite que um utilizador comum se torne root no sistema. O CVE-2026-31695 esteve no kernel por quase cinco anos, e uma exploração de trabalho já foi relatada. O ZcopyReaper, CVE-2026-43502, existe desde o kernel 4.17. Erros recentes também são mais perceptíveis. Fragnesia, CVE-2026-46300, não é um vazamento antigo, mas veio através de um adesivo anterior. Está na lista de abusos ativos da CISA desde 28 de outubro. Lá ele está vinculado ao PHP2Shell: primeiro através do site, depois o controle total sobre o servidor.

Este é apenas o começo

A IA não apenas torna os pesquisadores mais rápidos, mas também os invasores. A própria OpenAI reconhece que os mesmos recursos podem ajudar os invasores a criar rapidamente ferramentas de ataque. O NCSC britânico já alertou em maio sobre uma onda de atualizações urgentes em todos os tipos de software, incluindo open source e SaaS. Ninguém sabe qual é o próximo software. No entanto, é claro que ainda há muito código antigo que nunca foi analisado tão minuciosamente quanto é possível agora. Portanto, conte com mais desses tipos de semanas.

O que isso significa para você como empreendedor

Talvez você pense: meu site está em funcionamento há dez anos sem problemas. Isso é o que muito da web disse sobre o PHP. Um vazamento pode significar que os dados do cliente estão na rua, sua loja virtual ou aplicativo cai ou os invasores derrubam seu servidor. Isso é seguido por perguntas dos clientes, custos de reparo, vendas perdidas e, às vezes, um relatório ao regulador. Os danos à reputação geralmente começam com uma mensagem de um cliente: o que aconteceu com meus dados? Os atacantes não precisam escolher você. No PHP2Shell, as tentativas chegaram aos milhões. Então você não é um alvo porque é alto, mas porque está online.

Seu código e seu servidor são dois problemas diferentes

Você pode corrigir vazamentos em PHP e Linux no servidor. Os erros em seu próprio site ou aplicativo estão em seu código: um formulário que não verifica a entrada, uma página sem autorização, uma chave no repositório. Nenhuma atualização de um fornecedor irá corrigi-lo. Não importa quem escreveu o código. Quer tenha dez anos ou tenha sido feito na semana passada, um atacante está apenas a verificar se está a funcionar.

Quanto pode custar um vazamento

Em caso de segurança insuficiente, a Autoridade Holandesa de Proteção de Dados pode impor uma multa. De acordo com o Artigo 83 do GDPR, pode chegar a US €10 milhões ou 2% da receita anual global, o que for maior. Em dezembro de 2025, o HAN foi multado em US €175.000. Um atacante abusou de um vazamento em forma de web em 2021. A AP então analisou a segurança, como direitos excessivos, registro limitado e senhas mal protegidas.

A sua obrigação de fazer um esforço ao abrigo do RGPD e do NIS2

O GDPR e a Lei de Segurança Cibernética não exigem perfeição. Eles pedem medidas apropriadas que correspondam aos seus riscos. O artigo 32 .º do RGPD também menciona um procedimento para testar, avaliar e avaliar medidas a intervalos regulares. A Lei de Segurança Cibernética está em vigor desde 15 de agosto de 2026 e, de acordo com o NCSC, afeta mais de 8.000 organizações. O Artigo 21 menciona, entre outras coisas, desenvolvimento seguro, resposta a vulnerabilidades e segurança da cadeia de suprimentos. Se você mesmo não se enquadrar, um cliente que se enquadre ainda pode pedir provas. Uma varredura de código ou varredura de servidor não é uma marca de qualidade. No entanto, um relatório ajuda a mostrar o que verificou, o que encontrou e o que resolveu. Especialmente quando algo acontece, é valioso.

Hora de agir

1. Verifique quais versões do PHP, Node.js e kernel estão realmente em execução. 2. Remende e reinicie. 3. Substitua o software sem suporte. O PHP 8.2 terminará em 31 de dezembro de 2026. 4. Procure sinais de abuso. 5. Verifique o seu próprio código, incluindo as partes antigas que ninguém mais está olhando. 6. Capture o que fez. Use a nossa autoverificação gratuita como ponto de partida.

Como o Binadit ajuda

Com o Binadit Code Scan, verificamos o código do seu site ou aplicativo, a um preço fixo e sem conta. Com a varredura do servidor, também analisamos o nível e a configuração do patch. Tratamos do seu código com cuidado, assinamos um NDA e cada descoberta é analisada por um humano. Confira as embalagens.

Ver verificação de código BinaditFaça a varredura do seu siteFaça a varredura do seu aplicativoVeja a verificação do servidorAutoverificação gratuitaCondições

Fontes