PHP2Shell: as duas falhas críticas do PHP que levaram governos a colocar sites públicos offline

PHP2Shell é um apelido para duas vulnerabilidades na própria linguagem de programação PHP, não em nenhum site ou aplicativo específico. Elas são rastreadas como CVE-2026-109618 e CVE-2026-109619, e a própria equipe de segurança do PHP classificou ambas com 9.2 em 10 na escala CVSS v4.0, seu nível 'crítico', de acordo com a página de arquivo oficial de 2026 do projeto PHP.

O que as duas falhas realmente fazem

De acordo com o aviso de segurança do próprio projeto PHP, CVE-2026-109618 é acionada quando o PHP fica sem memória enquanto está manipulando uma requisição da web. O erro de falta de memória pode interromper o PHP antes que os dados de requisição interna sejam totalmente configurados, e o processo de limpeza que se segue pode então tratar esses dados incompletos como válidos, o que pode levar a corrupção de memória e execução remota de código.

CVE-2026-109619 é descrita pelo PHP como um bug de 'estado global obsoleto': dados vinculados à requisição de um visitante podem permanecer na memória de um servidor após terem sido apagados, e a próxima requisição de um visitante manipulada pelo mesmo processo de trabalho pode acabar agindo sobre esses restos. A empresa de segurança watchTowr, que opera uma rede global de sistemas de monitoramento, disse que ambos os bugs permitem que um atacante execute código sem login obrigatório, antes mesmo do código do próprio site começar a executar.

A empresa de segurança holandesa Sansec adicionou mais detalhes técnicos, dizendo que um dos caminhos para exploração passa pela funcionalidade de 'progresso de upload' de sessão do PHP e pode expor dados como senhas, chaves de API e chaves de criptografia que casualmente estavam na memória de um servidor de outras requisições não relacionadas.

Por que tantos sites foram expostos

Os bugs estão dentro do motor PHP, então qualquer site ou aplicativo construído com PHP está potencialmente exposto, independentemente de qual sistema de conteúdo seja executado sobre ele. Isso inclui plataformas amplamente utilizadas como WordPress, Drupal, Joomla, Magento e Nextcloud, de acordo com Sansec. O PHP permanece uma das linguagens de programação lado do servidor mais amplamente utilizadas na web, o que é uma das razões pelas quais as falhas foram tratadas como representando um risco amplo e em larga escala.

Pesquisadores de segurança na Wiz identificaram as falhas, e Help Net Security relatou que os pesquisadores disseram que avanços em ferramentas de IA de fronteira reduziram significativamente a barreira técnica para transformar um problema de manipulação de memória antigo e difícil de explorar em um exploit funcional.

Por que governos tiraram sites do ar

Detalhes técnicos das falhas vazaram antes que o patch oficial do PHP estivesse pronto, eliminando a vantagem usual que os defensores têm antes de uma correção ser tornada pública. O blog de segurança Safeguard relatou que em 21 de outubro de 2026, os Países Baixos desligaram serviços incluindo o site do próprio centro nacional de segurança cibernética, Overheid.nl, o site da Câmara dos Representantes e vários sites de hospitais e partidos políticos como medida de precaução. O provedor de TI estatal da Finlândia, Valtori, colocou os serviços da rede governamental offline como medida de precaução, e a empresa municipal de TI da Dinamarca, Kombit, desligou vários serviços incluindo uma plataforma nacional de comunicação escolar. O Ministério do Interior da França desligou temporariamente sites de prefeitura e administração local, dizendo que estava aguardando o patch do PHP ser aplicado. O provedor de TI federal alemão ITZBund e o Ministério das Relações Exteriores belga também tiraram sites do ar, embora Safeguard tenha relatado que deram razões diferentes: ITZBund disse que não tinha conhecimento de incidentes de segurança, enquanto o Ministério das Relações Exteriores belga citou relatos de ataques.

watchTowr disse que sua rede honeypot, Attacker Eye, registrou tentativas de exploração do mundo real começando em 21 de outubro de 2026, um dia após o vazamento e o mesmo dia em que PHP publicou seu patch.

As duas falhas comparadas

Como proteger seu site e seus dados

1. Se você executa um site em PHP: atualize para uma versão corrigida — PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 — e reinicie todos os processos de trabalho do PHP depois, pois o aviso do PHP e runZero enfatizam que a atualização é o único fix completo.
2. Se você ainda está no PHP 7.4, 8.0 ou 8.1, que não recebem mais atualizações oficiais, obtenha um patch de segurança transportado da sua distribuição Linux ou provedor de hospedagem, já que o próprio projeto PHP parou de manter esses ramos, de acordo com a página de arquivo do PHP.
3. Até que você possa fazer patch, runZero recomenda passos intermediários no nível do servidor ou proxy: limite os limites de memória para que aplicações não possam substituí-los, imponha limites baixos de tamanho de requisição e upload multipart, e desabilite a funcionalidade 'progresso de upload' de sessão.
4. Verifique seus registros de acesso do servidor web por requisições POST multipart/form-data incomuns, que Sansec diz serem comuns em tentativas de exploração conhecidas, e observe picos inesperados de memória PHP ou erros fatais.
5. Como um usuário de internet cotidiano, você não pode fazer patch em servidores que não controla, mas pode observar notificações de violação de serviços que você usa, usar uma senha única para cada conta, e ligar autenticação de dois fatores para que uma senha vazada não seja suficiente para acessar suas contas.

O que ainda não está claro

Conforme relatado na informação revisada, havia desacordo entre especialistas sobre quão generalizada já era a exploração ativa no momento em que vários governos decidiram colocar sites offline; Safeguard relatou que o governo holandês disse que não tinha sinais de exploração ativa quando agiu, enquanto watchTowr confirmou em separado tentativas de ataque reais contra seus honeypots no dia seguinte.