Duas Falhas Críticas de PHP Apelidadas de "PHP2Shell" Expõem a Maior Parte da Web

Em 21 de outubro de 2026, o projeto PHP lançou versões corrigidas da linguagem após pesquisadores de segurança divulgarem duas vulnerabilidades críticas de execução remota de código coletivamente apelidadas de "PHP2Shell". As falhas, rastreadas como CVE-2026-109618 e CVE-2026-109619, foram encontradas pela empresa de segurança em nuvem Wiz Research, que credita as organizações Calif e OpenAI por contribuir para descoberta, coordenação e verificação de patch, de acordo com o comunicado público de Wiz.

O que as duas vulnerabilidades fazem

Wiz diz que os dois CVEs na verdade agrupam quatro bugs subjacentes distintos. CVE-2026-109618 cobre uma falha de liberação após o uso no desserializador de progresso de carregamento de sessão do PHP, que pode ser abusada para execução remota de código, além de um bug relacionado que pode vazar memória de um processo de trabalhador do PHP em execução sem autenticação. CVE-2026-109619 cobre uma liberação após o uso no tratamento de rastreamento de erro fatal do PHP e uma falha de confusão de tipo separada no OPcache, o cache de código de bytes de memória compartilhada do PHP.

De acordo com Wiz, ambos os problemas estão em caminhos de código que quase todas as requisições do PHP passam: gerenciamento de memória e tratamento de erros. A Fundação PHP fez o mesmo ponto em comentários relatados pela saída SecurityWeek.

Cronograma de descoberta

O time de pesquisa da Wiz — nomeado em seu post no blog como Sagi Tzadik, Shir Tamari, Nir Ohfeld e Tomer Schwartz — diz que encontrou o primeiro bug em 19 de agosto de 2026 e confirmou exploits funcionais de execução remota de código contra instalações WordPress e Drupal nos dois dias seguintes. O time reportou seus achados para o time de segurança do PHP em 24 de agosto de 2026. A divulgação pública e os patches correspondentes seguiram em 21 de outubro de 2026.

Wiz diz que usou modelos de codificação de IA, incluindo Gemini 4 Argon do Google e GPT-5.6 Sol do OpenAI, para ajudar a construir exploits de prova de conceito, descrevendo trabalho que anteriormente teria levado meses para pesquisadores especialistas como alcançável em horas.

Quem é afetado

Wiz afirma que as falhas subjacentes existem em todas as versões do PHP lançadas ao longo de aproximadamente a última década, com pelo menos um dos dois CVEs presente a partir do PHP 5.4 em diante. A empresa diz que confirmou execução remota de código não autenticada contra versões atuais de três sistemas de gerenciamento de conteúdo amplamente usados: WordPress, Drupal e Joomla. SecurityWeek relata que os bugs afetam métodos comuns de implantação do PHP, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.

Wiz enquadra a escala de exposição como afetando aproximadamente 70% da Internet, uma referência à parcela de sites que executam PHP de alguma forma, de acordo com o comunicado da empresa.

Tentativas de exploração desde a divulgação

Múltiplas empresas de segurança monitoraram o tráfego de ataque em torno da divulgação. SecurityWeek relata que a empresa watchTowr detectou as primeiras tentativas de exploração na natureza ao redor da época em que os patches chegaram, mas não havia confirmado um comprometimento bem-sucedido. Hadrian disse à SecurityWeek que observou tentativas de exploração em grande escala antes mesmo dos patches serem lançados, concentradas no caminho de código de progresso de carregamento de sessão do PHP. Patchstack, Cloudflare e Vega registraram tentativas no dia da divulgação, e Amazon disse que havia identificado tentativas de exploração quatro dias antes dos patches serem enviados.

Por que a escala do PHP torna isso significativo

PHP foi criado pelo programador dinamarquês-canadense Rasmus Lerdorf, lançado pela primeira vez em 1995, e continua sendo uma das linguagens de script do lado do servidor mais amplamente utilizadas para construir sites, de acordo com Wikipedia. A mesma fonte observa que a partir de novembro de 2025, mais da metade dos sites baseados em PHP ainda estavam executando o branch PHP 7 não suportado, e aproximadamente 9,7% ainda estavam no PHP 5, que foi descontinuado anos atrás — um padrão de software legado que os pesquisadores de segurança dizem que complica o patching rápido em todo o ecossistema mais amplo do PHP.