---
title: Vulnerabilidades graves no PHP permitem execução remota de código
url: https://www.dataloco.com/pt-br/vulnerabilidades-graves-no-php-permitem-execucao-remota-de-codigo
published: 2026-11-04T12:22:58+00:00
language: pt-br
section: Segurança
source: https://japan.zdnet.com/article/35254176/
organizations: PHP, CISA, Wiz Research, Tanium, IPA, JPCERT/CC
publisher: Dataloco
---

# Vulnerabilidades graves no PHP permitem execução remota de código

Uma série de vulnerabilidades críticas, denominadas PHP2Shell, foi divulgada no dia 21 de outubro de 2026, afetando a linguagem de programação PHP. Essas falhas podem permitir que terceiros não autenticados executem programas em servidores, caso certas condições sejam atendidas.

O problema consiste em duas vulnerabilidades específicas, identificadas como CVE-2026-109618 e CVE-2026-109619. Por se tratar de falhas no núcleo do software e não em plugins ou sites específicos, o alcance do impacto é amplo. O desenvolvedor do PHP classificou a gravidade como urgente, atribuindo uma pontuação de 9,2 no sistema CVSS v4.0. A Wiz Research indica que o PHP sustenta aproximadamente 70 por cento dos sites globais.

As versões corrigidas 8.5.12, 8.4.27, 8.3.36 e 8.2.35 foram lançadas em 21 de outubro. A CISA, a IPA e o JPCERT/CC emitiram alertas urgentes para que as organizações apliquem as correções imediatamente. Para agências federais dos Estados Unidos, a CISA estabeleceu o prazo de resposta até 29 de outubro.

Sobre os vetores de ataque, a equipe de desenvolvimento do PHP demonstrou que, no mod_php do Apache, a falha CVE-2026-109618 pode ser atingida antes mesmo da execução do código da aplicação. No PHP-FPM, a execução remota de código foi confirmada através de caminhos de código do lado da aplicação. Isso significa que a presença de funções de login não garante a segurança. Além disso, pesquisadores relataram que senhas, tokens de autenticação e chaves de API podem ser lidos da memória do PHP durante o processamento, mesmo que a execução de programas maliciosos não ocorra.

Embora muitos códigos de demonstração públicos não funcionem perfeitamente, a equipe de caça a ameaças da Tanium confirmou a execução de código via requisições HTTP para a CVE-2026-109619 em ambiente de laboratório usando PHP 8.5.11 com Apache mod_php. A CISA adicionou ambas as vulnerabilidades ao Catálogo de Vulnerabilidades Exploradas Conhecidas em 26 de outubro, indicando evidências confiáveis de tentativas ou sucessos de exploração em ambientes reais, o que inclui ataques a potes de mel.

Como medida preventiva, diversos serviços foram suspensos temporariamente para verificação de segurança, incluindo aplicativos e sites de bancos regionais, sistemas de busca de documentos públicos de governos locais e funções de provedores de hospedagem e serviços de criação de sites. Todas as interrupções relatadas foram descritas como medidas preventivas e não como resultado de ataques.

## This story in other languages

- [العربية](https://www.dataloco.com/ar/thghrat-amny-khtyr-fy-lgh-albrmg-php-tsmh-btnfyth-bramg-aan-baad)
- [Indonesia](https://www.dataloco.com/id/kerentanan-kritis-php2shell-memungkinkan-eksekusi-program-jarak-jauh)
- [Русский](https://www.dataloco.com/ru/obnaruzeny-kriticeskie-uiazvimosti-v-iazyke-programmirovaniia-php)
- [हिन्दी](https://www.dataloco.com/hi/php-ma-gabhara-sarakashha-khamaya-paii-gaii-jasasa-saravara-para-anathhakata-paragarama-calna-ka-jakhama-ha)
- [Français](https://www.dataloco.com/fr/une-vulnerabilite-critique-nommee-php2shell-affecte-le-langage-de-programmation-php)
- [Svenska](https://www.dataloco.com/sv/kritiska-sarbarheter-i-php-kan-tillata-fjarrstyrning-av-servrar)
- [Norsk](https://www.dataloco.com/no/kritiske-sarbarheter-oppdaget-i-programmeringsspraket-php)
- [Nederlands](https://www.dataloco.com/nl/kritieke-php2shell-kwetsbaarheden-maken-ongeautoriseerde-programma-uitvoering-mogelijk)