PHP2Shell: a falha de execução remota no PHP que já está sendo explorada
Duas falhas críticas no PHP (CVE-2026-109618 e CVE-2026-109619) permitem executar código sem autenticação. Veja quem é afetado e como se proteger.
· Josué Juca
- Duas falhas no PHP, CVE-2026-109618 e CVE-2026-109619, permitem executar código sem autenticação.
- Já foram exploradas na internet desde 21 de outubro e estão no catálogo KEV da CISA.
- Atualize para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 e reinicie os processos do PHP.
- Quem usa PHP 8.1 ou anterior não tem correção oficial: use um pacote com suporte ou migre.
- nota CVSS v4.0 das duas falhas
- 9,2
- versões do PHP com correção oficial
- 4
- início da exploração observada
- 21/10
Em 20 de outubro de 2026, detalhes de duas falhas graves no PHP vazaram nas redes sociais antes da data planejada de divulgação. A equipe de segurança do PHP antecipou uma versão de emergência e, no dia seguinte, publicou as correções. O conjunto ganhou o apelido de PHP2Shell, e a exploração já foi observada na internet.
Como o PHP roda uma enorme parte dos sites e sistemas web, vale entender o que aconteceu e agir rápido.
O que são as falhas
São duas vulnerabilidades de execução remota de código (RCE) que não exigem autenticação:
- CVE-2026-109618: execução de código por corrupção de memória. Segundo a descrição do watchTowr, o PHP fica sem memória no meio da preparação de uma requisição e deixa dados internos pela metade, nos quais o código de limpeza passa a confiar.
- CVE-2026-109619: execução de código por estado global obsoleto. O estado interno sobrevive à memória da requisição à qual ele se refere, e a próxima requisição tratada pelo mesmo processo pode agir sobre esses dados residuais.
Segundo o watchTowr, ambas têm nota CVSS v4.0 de 9,2. As descrições públicas são resumidas, e as fontes consultadas não citam código de exploração público.
Quem é afetado
Toda instalação de PHP que atende requisições web está no escopo: PHP-FPM, Apache com mod_php, php-cgi, LiteSpeed e FrankenPHP. O maior risco é o mod_php, em que o ataque pode ter sucesso antes de qualquer código da própria aplicação rodar. Segundo o watchTowr, nenhuma mudança de configuração mitiga totalmente as falhas.
Veja a situação de cada versão:
| Versão do PHP | Situação | O que fazer |
|---|
| 8.5 | Corrigida na 8.5.12 | Atualizar |
| 8.4 | Corrigida na 8.4.27 | Atualizar |
| 8.3 | Corrigida na 8.3.36 | Atualizar |
| 8.2 | Corrigida na 8.2.35 | Atualizar |
| 7.4, 8.0 e 8.1 | Afetadas, sem versão oficial corrigida | Pacote da distribuição ou de suporte estendido, backports mínimos do PHP, ou migrar |
| 7.3 e anteriores (inclui PHP 5) | Afetadas, sem correção | Migrar para uma versão suportada |
Já está sendo explorada
O watchTowr observou tentativas de exploração a partir de 21 de outubro, usando a sua rede de armadilhas (honeypots). Em 26 de outubro a CISA incluiu as falhas no catálogo de vulnerabilidades exploradas (KEV). Até o momento, nenhuma autoria foi divulgada.
O que fazer agora
- Faça um inventário. O PHP costuma ser componente de outros programas, como sites, gerenciadores de conteúdo e painéis, então nem sempre ele aparece à primeira vista.
- Atualize para a versão corrigida da sua ramificação.
- Reinicie todos os processos (workers) do PHP. Sem a reinicialização, a correção não passa a valer.
- Priorize o que está exposto à internet, começando por servidores com Apache e mod_php.
- Se não for possível atualizar agora, restrinja o acesso à internet desses sistemas ou tire-os do ar até a correção. Um firewall de aplicação web (WAF) pode dar uma proteção parcial enquanto isso.
- Monitore processos do PHP que abram shells ou baixem ferramentas, sinais de que alguém explorou a falha.
Para o inventário, comece conferindo a versão em cada servidor. O PHP-FPM e o módulo do Apache podem ter versões diferentes da linha de comando:
php -v
php-fpm -v
Nenhuma configuração resolve por completo: a solução é atualizar o PHP e reiniciar os processos.
Linha do tempo
- 20 de outubro: os detalhes vazam antes da divulgação planejada para o dia 22.
- 21 de outubro: o PHP publica o aviso de segurança e as versões corrigidas. O watchTowr observa as primeiras explorações.
- 26 de outubro: a CISA inclui as falhas no catálogo KEV.
As falhas foram descobertas por pesquisadores da Calif e reportadas ao PHP em divulgação coordenada.
Como podemos ajudar
Se a sua empresa roda sites ou sistemas em PHP e precisa descobrir onde ele está, atualizar com segurança e acompanhar o ambiente, nossa equipe de suporte técnico e infraestrutura faz esse trabalho.
Fontes