Diante da repercussão das falhas conhecidas como php2shell (CVE-2026-109618 e CVE-2026-109619), que atingem o PHP e permitem a execução remota de código sem autenticação, o Hacker Cidadão coloca no ar o Sentinela, um verificador gratuito e em português disponível em sentinela.org.br. Em poucos segundos, qualquer pessoa consegue avaliar a segurança observável de um site a partir de fora, sem técnicas invasivas, e receber orientação sobre o que proteger.
Classificadas com gravidade 9.2 (crítica) na escala internacional CVSS, as duas falhas já foram corrigidas nas versões de PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O receio de invasão, no entanto, levou parte dos órgãos públicos a retirar serviços do ar por precaução, muitas vezes sem saber ao certo se estavam de fato vulneráveis. É nesse ponto que o Sentinela pretende ajudar: oferecer uma leitura rápida e honesta da exposição externa, para que a decisão de agir seja baseada em informação, e não em medo.
O que a ferramenta faz
O Sentinela realiza uma análise passiva: inspeciona apenas o que o site já expõe publicamente, como os cabeçalhos de segurança, a configuração de HTTPS e TLS, os sinais da tecnologia utilizada e indícios de versões vulneráveis. Ao final, apresenta uma nota de A a F, explica cada ponto em linguagem simples, recomenda o que corrigir e permite baixar um diagnóstico em PDF. A ferramenta não tenta invadir, não varre portas e não explora falhas, portanto não incorre no artigo 154-A do Código Penal, e pode ser usada em sites próprios ou de terceiros.
A base de vulnerabilidades do Sentinela é atualizada automaticamente todos os dias, a partir de fontes públicas como o endoflife.date e o catálogo de falhas sob exploração ativa da CISA, a agência de segurança cibernética dos Estados Unidos. Assim, a verificação acompanha o cenário em vez de ficar defasada.
O que ela deixa claro que não vê
Fiel ao princípio de não gerar falsa sensação de segurança, o Sentinela diz, com todas as letras, o que a análise externa não alcança: portas abertas, falhas em bibliotecas, áreas protegidas por login, senhas fracas e a própria confirmação da versão do PHP quando ela está oculta, o que é justamente uma boa prática. Por isso, a ferramenta reforça que uma nota boa não é um atestado de segurança, e acompanha um guia para gestores públicos com o que verificar além do site e as perguntas certas a fazer a quem o mantém.
“Em um momento de pânico, a pior decisão é a que se toma no escuro. O Sentinela existe para que o gestor público e o cidadão comum consigam, em dois minutos, enxergar a própria exposição e agir com critério, sem precisar de conhecimento técnico e sem cair na falsa sensação de segurança.” afirma Percival Henriques, presidente da ANID (Associação Nacional para Inclusão Digital), coordenador da Câmara de Segurança Cibernética e Direitos do CGI.br e presidente do Conselho de Administração do NIC.br.
Gratuito e sem cadastro, o Sentinela está disponível em sentinela.org.br e é um serviço do Hacker Cidadão. A proposta é servir tanto ao cidadão que quer conferir um site quanto ao gestor público que precisa, com urgência e responsabilidade, saber se corre risco antes de decidir tirar ou manter um serviço no ar.
Assessoria
