Segurança · 29 de outubro de 2026
Duas vulnerabilidades críticas no PHP permitem execução remota de código
Duas vulnerabilidades críticas no PHP, conhecidas coletivamente como PHP2Shell, foram divulgadas, expondo organizações que dependem de sites, portais de clientes e outras aplicações web a riscos urgentes de segurança e continuidade de negócios. As falhas permitem que atacantes não autenticados executem código em servidores afetados, o que pode resultar na exposição de informações confidenciais ou na interrupção de serviços.
As vulnerabilidades são rastreadas como CVE-2026-109618 e CVE-2026-109619, ambas com pontuação 9,2 no CVSS 4.0. A CVE-2026-109618 envolve a corrupção de memória durante o processamento de erros de falta de memória, enquanto a CVE-2026-109619 refere-se a um estado global antigo onde trabalhadores do PHP acessam referências de memória liberadas após requisições anteriores. Ambas podem levar à execução remota de código, operando com as permissões do processo afetado e expondo credenciais, segredos de aplicação ou recursos conectados.
O projeto PHP identificou que todas as instalações que processam requisições web estão em risco, incluindo PHP-FPM, php-cgi, FrankenPHP, LiteSpeed e Apache com mod_php, sendo este último considerado o de maior risco por permitir ataques antes da execução do código da aplicação. Um instantâneo de 22 de outubro de 2026 do painel da Censys identificou aproximadamente 36,7 milhões de serviços voltados para a internet que utilizam versões do PHP potencialmente afetadas.
Atualizações de segurança foram lançadas em 21 de outubro de 2026, com as versões corrigidas sendo PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Versões anteriores ao PHP 8.1 não recebem mais lançamentos de segurança padrão do projeto PHP, exigindo que organizações verifiquem se seus fornecedores oferecem correções retroativas ou atualizações para versões suportadas.
A Fortinet confirmou que o FortiOS, sistema operacional do FortiGate, não é afetado, assim como o FortiManager, FortiAnalyzer, FortiWeb e diversos outros produtos da empresa. O FortiGuard Labs disponibilizou proteções via assinaturas de IPS e patches virtuais para mitigar a exposição enquanto as organizações testam e aplicam as atualizações definitivas do PHP.