Segurança · 4 de novembro de 2026
Vulnerabilidades graves no PHP permitem execução remota de código
Uma série de vulnerabilidades críticas, denominadas PHP2Shell, foi divulgada no dia 21 de outubro de 2026, afetando a linguagem de programação PHP. Essas falhas podem permitir que terceiros não autenticados executem programas em servidores, caso certas condições sejam atendidas.
O problema consiste em duas vulnerabilidades específicas, identificadas como CVE-2026-109618 e CVE-2026-109619. Por se tratar de falhas no núcleo do software e não em plugins ou sites específicos, o alcance do impacto é amplo. O desenvolvedor do PHP classificou a gravidade como urgente, atribuindo uma pontuação de 9,2 no sistema CVSS v4.0. A Wiz Research indica que o PHP sustenta aproximadamente 70 por cento dos sites globais.
As versões corrigidas 8.5.12, 8.4.27, 8.3.36 e 8.2.35 foram lançadas em 21 de outubro. A CISA, a IPA e o JPCERT/CC emitiram alertas urgentes para que as organizações apliquem as correções imediatamente. Para agências federais dos Estados Unidos, a CISA estabeleceu o prazo de resposta até 29 de outubro.
Sobre os vetores de ataque, a equipe de desenvolvimento do PHP demonstrou que, no mod_php do Apache, a falha CVE-2026-109618 pode ser atingida antes mesmo da execução do código da aplicação. No PHP-FPM, a execução remota de código foi confirmada através de caminhos de código do lado da aplicação. Isso significa que a presença de funções de login não garante a segurança. Além disso, pesquisadores relataram que senhas, tokens de autenticação e chaves de API podem ser lidos da memória do PHP durante o processamento, mesmo que a execução de programas maliciosos não ocorra.
Embora muitos códigos de demonstração públicos não funcionem perfeitamente, a equipe de caça a ameaças da Tanium confirmou a execução de código via requisições HTTP para a CVE-2026-109619 em ambiente de laboratório usando PHP 8.5.11 com Apache mod_php. A CISA adicionou ambas as vulnerabilidades ao Catálogo de Vulnerabilidades Exploradas Conhecidas em 26 de outubro, indicando evidências confiáveis de tentativas ou sucessos de exploração em ambientes reais, o que inclui ataques a potes de mel.
Como medida preventiva, diversos serviços foram suspensos temporariamente para verificação de segurança, incluindo aplicativos e sites de bancos regionais, sistemas de busca de documentos públicos de governos locais e funções de provedores de hospedagem e serviços de criação de sites. Todas as interrupções relatadas foram descritas como medidas preventivas e não como resultado de ataques.