PHP2Shell: Duas Falhas Críticas do PHP Provocam Desligamentos Globais de Sites

PHP, a linguagem de script que executa uma grande parte do código do lado do servidor web, foi atingida por duas falhas críticas de segurança divulgadas em outubro de 2026. Coletivamente apodadas de "PHP2Shell" e rastreadas como CVE-2026-109618 e CVE-2026-109619, os bugs permitem que um atacante sem conta ou senha execute código arbitrário em um servidor web afetado.

O que as vulnerabilidades fazem

De acordo com a empresa de segurança watchTowr, CVE-2026-109618 ocorre quando PHP fica sem memória no meio da configuração de uma solicitação recebida, deixando dados de solicitação interna apenas parcialmente inicializados; a rotina de limpeza do PHP então trata erroneamente esses dados inválidos como válidos. CVE-2026-109619 envolve o estado interno vinculado a uma solicitação que sobrevive depois que a memória para a qual aponta já foi liberada, portanto, uma solicitação posterior tratada pelo mesmo processo worker pode usar esse estado obsoleto antes que a inicialização normal o redefina.

A empresa de pesquisa Wiz, que examinou as falhas, disse à Help Net Security que os problemas passaram despercebidos por anos e estão entre os mais graves jamais encontrados na linguagem. Além da execução remota de código completa, watchTowr disse que os bugs também podem travar processos worker do PHP, permitir leituras arbitrárias de arquivos ou vazar memória do servidor.

Quem descobriu e quando

As duas falhas foram relatadas através de esforços de pesquisa separados. O aviso do WatchTowr credita a equipe de pesquisa de segurança da Calif com a descoberta, enquanto a cobertura da Help Net Security atribui a identificação e divulgação a pesquisadores da Wiz. O cronograma de divulgação foi incomum: os detalhes destinados a permanecer sob embargo vazaram publicamente em 20 de outubro de 2026, e watchTowr confirmou que as informações vazadas eram genuínas. Os mantenedores do PHP responderam lançando patches um dia antes da data originalmente planejada de 22 de outubro, às 14:00 UTC em 21 de outubro de 2026.

Escopo: quem executa PHP vulnerável

PHP continua sendo uma das linguagens de lado do servidor mais amplamente utilizadas na web, e as falhas podem afetar qualquer configuração que processe solicitações HTTP recebidas através dela. As configurações afetadas incluem PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed, de acordo com watchTowr, o que significa que o bug está na camada do servidor em si, e não em qualquer aplicativo individual.

Como o PHP 7.4, 8.0 e 8.1 não têm mais suporte oficial, watchTowr diz que não há patch do projeto do núcleo PHP para sites ainda executando esses ramos, embora backports de distribuição Linux ou fornecedores de suporte de longo prazo possam estar disponíveis como uma opção intermediária; caso contrário, essas instalações precisam se mudar para um ramo suportado. O PHP 7.3 e versões mais antigas não têm nenhuma correção, de acordo com watchTowr. O aviso do PHP afirma que nenhuma mudança de configuração fecha completamente as vulnerabilidades sem atualizar o software.

Impacto e exploração

Help Net Security relatou que uma rede de honeypot executada pela Amazon detectou tentativas de exploração em 17 de outubro de 2026, quatro dias antes do patch público, sugerindo que alguns atacantes tiveram acesso antecipado aos detalhes de exploração. WatchTowr disse que sua própria rede de honeypot "Attacker Eye" observou exploração ativa em curso após o lançamento do patch de 21 de outubro. Sistemas de gerenciamento de conteúdo construídos sobre PHP, incluindo WordPress, Drupal e Joomla, juntamente com aplicativos baseados em Laravel e plataformas de comércio eletrônico, estão todos dentro da área afetada porque funcionam sobre o mecanismo PHP vulnerável.

Conforme a aplicação de patches avançava, agências governamentais, fóruns online, plataformas de jogos e alguns sites relacionados a infraestrutura foram desconectados como medida de precaução enquanto os operadores aplicavam correções, de acordo com a cobertura resumida na entrada Wikipedia do PHP2Shell. O Centro Nacional de Segurança Cibernética do Reino Unido instou as organizações que não conseguiram fazer patch imediatamente a desconectar os sistemas vulneráveis, relatou Help Net Security.

Classificação de severidade e o que os operadores de site devem fazer

Os próprios desenvolvedores do PHP classificaram ambas as falhas como 9,2 em 10 na escala CVSS v4.0, uma classificação "crítica", de acordo com o aviso de watchTowr. O caminho claro de remediação, de acordo com tanto o aviso do PHP quanto o watchTowr, é atualizar para PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 dependendo de qual ramo um servidor executa; sites no 7.4, 8.0 ou 8.1 devem usar um backport de distribuição ou mover para um ramo suportado, enquanto servidores no 7.3 ou anterior não têm nenhuma correção disponível e precisam atualizar.