Ataque "PHP2Shell" assistido por IA rooteia 25 servidores e invade rede ligada ao governo dos EUA
Um ator ligado à China combinou falhas da classe PHP2Shell com um exploit de escalonamento de privilégios de kernel para assumir controle total de ao menos 25 servidores expostos na internet, incluindo uma rede afiliada ao governo dos Estados Unidos. Pesquisadores atribuem parte da orquestração do ataque ao uso de IA, observado em 25 de outubro de 2026.
A campanha identificada por pesquisadores de segurança teve seu pico de atividade em 25 de outubro de 2026 e é atribuída a um ator suspeito de atuar a serviço de interesses chineses. O grupo explorou vulnerabilidades da categoria "PHP2Shell" — falhas em aplicações PHP expostas que permitem a um atacante converter uma funcionalidade legítima, como upload de arquivos ou inclusão remota de código, em um web shell completo — para obter um primeiro ponto de apoio nos servidores-alvo.
A partir desse acesso inicial, limitado aos privilégios do processo web, os atacantes encadearam um exploit de escalonamento de privilégios no kernel do sistema operacional, elevando o controle de "usuário do serviço" para root. Esse padrão de duas etapas — comprometer a aplicação exposta e depois escalar para o sistema operacional subjacente — é o que transforma uma vulnerabilidade web pontual em comprometimento total da máquina, e foi suficiente para dar aos invasores controle irrestrito sobre pelo menos 25 servidores, um dos quais pertencente a uma rede afiliada ao governo norte-americano.
O fato de a atividade ser descrita como "assistida por IA" indica que o grupo não usou um modelo para descobrir uma vulnerabilidade nova, mas sim para acelerar etapas operacionais do ataque — como varredura em massa de alvos vulneráveis, adaptação automática de payloads ou a própria lógica de encadear os dois exploits em sequência. Isso é consistente com o que equipes de threat intelligence vêm reportando ao longo de 2026: atores patrocinados por estado usando IA generativa como multiplicador de velocidade e escala sobre técnicas de exploração já conhecidas, não como fonte de capacidades inteiramente novas.
Na prática, o caso reforça que a defesa contra esse tipo de ataque continua dependendo de fundamentos básicos — corrigir falhas de upload/inclusão de arquivos em aplicações PHP expostas e manter kernels atualizados contra exploits de escalonamento de privilégio conhecidos — mas com a pressão adicional de que a automação via IA reduz o tempo entre a descoberta de um servidor vulnerável e o comprometimento total, inclusive contra redes governamentais.