PHP2Shell: Falhas críticas do PHP acionam busca global por patches e desligamento de sites

Em 21 de outubro de 2026, o projeto PHP lançou atualizações de emergência—versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35—para corrigir duas falhas críticas de segurança que pesquisadores de segurança e fornecedores apelidaram de «PHP2Shell», de acordo com Help Net Security e o Centro Canadense de Segurança Cibernética. As falhas, rastreadas como CVE-2026-109618 e CVE-2026-109619, são descritas como problemas de severidade crítica; as fontes revisadas para este artigo não citaram uma pontuação oficial de CVSS numérica.

O que a vulnerabilidade faz

Ambas as falhas são bugs de segurança de memória em como o PHP lida com solicitações sob condições anormais, reportaram Bleeping Computer e Help Net Security. CVE-2026-109618 ocorre quando um erro de falta de memória interrompe o PHP enquanto dados de solicitação interna estão apenas parcialmente configurados, então rotinas de limpeza posteriores tratam esses dados incompletos como válidos. CVE-2026-109619 é uma falha de estado obsoleto: memória vinculada a uma solicitação pode ser liberada e depois reutilizada por uma solicitação posterior no mesmo worker antes de ser devidamente reiniciada, o que pode expor dados ou permitir execução de código.

O Centro de Segurança Cibernética do Canadá classificou ambas como vulnerabilidades de Use-After-Free (CWE-416) e disse que um ataque bem-sucedido permite que um atacante não autenticado execute código arbitrário no servidor, sem precisar de senha ou qualquer ação do usuário. A agência disse que implantações de mod_php enfrentam o risco mais alto, já que um exploit demonstrado pode disparar o bug antes de qualquer código de aplicação ter a chance de ser executado — uma descrição também usada pela equipe de segurança do PHP, conforme relatado por Bleeping Computer.

O bug afeta todas as instalações de PHP que servem solicitações web, incluindo PHP-FPM, mod_php do Apache, php-cgi, FrankenPHP e LiteSpeed, de acordo com Bleeping Computer e o aviso canadense. O código subjacente havia existido no PHP por mais de uma década, relatou Fortune, embora correções oficiais tenham sido emitidas para os ramos 8.2–8.5 ativamente suportados, com backports em nível de código-fonte disponibilizados para 7.4 a 8.1, que ultrapassaram suas datas de fim de suporte.

Como foi descoberto, e por que a IA importa aqui

De acordo com Fortune, o código falho havia existido no PHP por mais de uma década, mas três partes separadas convergiram para isso em agosto de 2026: a empresa de segurança Wiz, uma empresa chamada Calif, e OpenAI, trabalhando com a Fundação PHP em uma correção e divulgação coordenada. Fortune reportou que Wiz usou modelos de IA incluindo GPT-5.6 Sol da OpenAI e Gemini 4 Argon do Google para ajudar a entender a fraqueza e transformá-la em um exploit funcional. Wiz disse ao Fortune que o caso representava uma mudança impulsionada por IA, dizendo que enquanto o código vulnerável havia existido por mais de uma década, o que mudou foi a capacidade dos pesquisadores de usar IA para entender as fraquezas e transformá-las em um exploit funcional.

Fortune também relatou que OpenAI, em sua própria declaração, disse que o episódio mostrou como a IA pode ajudar a descobrir falhas de segurança com impacto em escala de internet, enquanto reconhecia que as mesmas capacidades de IA também podem ajudar atacantes a desenvolver ferramentas e exploits ofensivos mais rapidamente.

Tentativas de exploração e resposta rápida do Cloudflare

Cloudflare disse em seu próprio blog que ativou regras de Firewall de Aplicação Web às 03:02 UTC em 21 de outubro, o que descreveu como aproximadamente nove horas antes das vulnerabilidades serem divulgadas publicamente. A empresa implantou sete «Regras Genéricas – Execução Anômala» para clientes de nível gratuito e um conjunto separado de sete regras equivalentes para planos pagos, mais uma regra adicional que verifica tanto a solicitação quanto a resposta dentro da mesma transação, de acordo com o post do Cloudflare resumido por ppc.land. O mesmo post disse que Cloudflare observou atacantes alterando seus payloads de exploit posteriormente em uma aparente tentativa de contornar as novas regras, embora não tenha publicado cifras exatas de volume de ataque.

Separadamente, o time de Inteligência de Ameaças da Amazon disse que havia detectado tentativas de exploração contra as falhas começando em 17 de outubro de 2026—quatro dias antes do patch público—de acordo com Bleeping Computer, sugerindo que alguns atores de ameaça tiveram acesso a detalhes de exploit antes da divulgação geral. Em contraste, o aviso do Centro de Segurança Cibernética do Canadá afirmou que, no momento em que foi escrito, não havia identificado exploração ativa, enquanto advertia que a situação poderia mudar rapidamente. As duas avaliações refletem diferentes pontos de observação e cronogramas em vez de uma contradição factual.

Japão: governo pressiona para fazer patch ou desligar

A vulnerabilidade atraiu atenção particularmente intensa no Japão. O Escritório Nacional de Segurança Cibernética do Japão, um órgão sucessor do NISC reorganizado em julho de 2025, emitiu um aviso instando operadores a verificar se seus sites executam PHP e a agir rapidamente, de acordo com um relatório do BigGo Finance sobre a declaração da agência. A primeira-ministra Sanae Takaichi postou no X chamando-o de «um pedido urgente para que todos respondam esta noite», e disse que suspender temporariamente um site poderia ser uma forma eficaz de reduzir risco se o patching imediato não fosse possível, relatou BigGo Finance.

Seguindo essas orientações, vários serviços online japoneses entraram em manutenção de emergência na noite de 21 de outubro, incluindo a plataforma de gerenciamento de creches CoDMON, o jogo de cartas Shadowverse: Worlds Beyond, o construtor de lojas online BASE e o provedor de hospedagem Sakura Internet, de acordo com o relatório do BigGo Finance. Os patches oficiais do PHP foram lançados por volta das 22h40 horário do Japão, antes de um alvo inicialmente anunciado de 23h, disse o mesmo relatório.

Separadamente, Internet Watch (Impress) relatou que o provedor de comunicações japonês Baltec suspendeu cerca de 23 serviços—cobrindo nuvem, reserva, ponto de venda e ferramentas de gestão de despesas—após detectar acesso não autorizado com possível exposição de dados pessoais. Baltec inicialmente atribuiu o incidente a um ciberataque direcionado a uma vulnerabilidade de PHP, mas a empresa emitiu uma correção no mesmo dia dizendo que a causa real era uma vulnerabilidade em seu próprio serviço, não a falha de PHP, depois de dizer que havia confundido os dois problemas enquanto revisava suas medidas de segurança relacionadas a PHP. Baltec tinha como alvo a restauração de serviço para 26 de outubro, relatou Internet Watch.

Escala de exposição

PHP alimenta um estimado de 70% dos sites no mundo todo, incluindo sites WordPress, Wikipedia, Microsoft.com e Archive.org, relatou Fortune, citando que aproximadamente 40% de todos os sites executam WordPress, que por sua vez depende de PHP. Fortune também citou uma verificação inicial identificando 22,6 milhões de instâncias potencialmente vulneráveis de PHP expostas à internet.

O que ainda é desconhecido

Conforme os relatórios disponíveis, nenhuma fonte confirma uma violação bem-sucedida em grande escala causada diretamente pela exploração de PHP2Shell, em oposição aos desligamentos precaucionais. As cifras sobre tentativas totais de exploração variam por fonte e janela de medição: o CEO do Cloudflare foi citado em cobertura japonesa via Yahoo! News como descrevendo contagens de tentativas subindo de milhares antes da divulgação para dezenas de milhares em 45 minutos e chegando a centenas de milhares em duas horas, com totais descritos como chegando a milhões no momento daquele relatório; o próprio post do blog do Cloudflare não repetiu essas cifras específicas. Os leitores devem tratar números precisos de volume de ataque como preliminares e sujeitos a revisão pelas organizações que os rastreiam.