ALERTA CRÍTICO SEGURANÇA

PHP2Shell: duas falhas críticas no PHP que ameaçam boa parte da web

CVE-2026-109618 e CVE-2026-109619 · CVSS 9.2 · Execução remota de código sem login

⏰ Atualizado em 22/10/2026 com as informações públicas disponíveis até esta data.

‼️ Resumo em 30 segundos

• Duas falhas no núcleo do PHP permitem que um invasor execute comandos no servidor sem precisar de login.
• Afetam praticamente toda instalação PHP que atende páginas web, independentemente do site usar WordPress, outro CMS, framework ou código próprio.
• Já existem ataques reais. Houve tentativa registrada 4 dias antes da divulgação oficial.
• Correção: atualizar para PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou versões mais novas).
• FBI, CISA, NSA e NCSC (Reino Unido) recomendam atualizar imediatamente ou tirar o sistema do ar até corrigir.

▪️ As duas falhas, em linguagem simples

CVE-2026-109618: quando o PHP fica sem memória no meio de uma requisição, alguns dados internos ficam “pela metade”. Na limpeza, o PHP trata esses dados como válidos, e isso pode ser usado para executar código.

CVE-2026-109619: restos de uma requisição anterior continuam na memória depois de liberados. Uma requisição seguinte pode reaproveitar esse “lixo” antes da limpeza normal, abrindo espaço para execução de código.

11 e 24/08/2026 · Calif e OpenAI (e depois a Wiz) reportam o problema à equipe do PHP.

17/10/2026 · A rede de armadilhas (honeypot) MadPot, da Amazon, registra uma tentativa de exploração, 4 dias antes da divulgação.

20/10/2026 · Os CVEs vazam (com nota errada, 10.0), a PHP Foundation publica um aviso prévio e antecipa a correção. Um vídeo de prova de conceito é publicado por engano.

21/10/2026, 07:41 UTC · A Chainguard publica imagens já corrigidas antes da hora combinada, quebrando o embargo.

21/10/2026, 08:36 UTC · A ELLIO registra a primeira requisição maliciosa, menos de 1 hora depois.

21/10/2026, 14:00 UTC · Lançamento oficial das versões corrigidas. Cloudflare, Pantheon e outras empresas confirmam ataques contra clientes.

FBI (Divisão Cibernética), no X, em 21/10/2026

“Duas vulnerabilidades críticas foram identificadas no PHP [...] Elas podem permitir que atores maliciosos executem código remotamente no núcleo do PHP.”

Recomendações do FBI:

• Atualizar o PHP seguindo as instruções do php.net. Se não der para atualizar já, tirar o sistema do ar até corrigir.
• Fazer um inventário de onde o PHP roda, começando pelos sistemas expostos à internet e por produtos que trazem PHP embutido.
• Monitorar processos PHP que abrem um terminal (shell) ou baixam arquivos de forma inesperada.
• Se houver sinais de invasão: isolar o sistema, preservar os logs do servidor web e do PHP e comunicar o caso (nos EUA, ao escritório local do FBI ou ao IC3). Essa orientação foi reforçada por Brett Leatherman, diretor-assistente da Divisão Cibernética do FBI.

1️⃣ Descubra sua versão. No terminal, rode php -v. No cPanel, veja em Seletor de versão PHP ou MultiPHP Manager.

2️⃣ Atualize. Instale a versão corrigida da sua série. No cPanel ou CloudLinux, atualize os pacotes ea-php e alt-php.

3️⃣ Reinicie. Reinicie o PHP-FPM, o Apache ou o LiteSpeed para a nova versão entrar em uso.

4️⃣ Verifique. Confira os logs desde 17/10 em busca dos sinais acima.

5️⃣ Se não puder atualizar já, considere tirar o site do ar e use as mitigações temporárias abaixo.

Mitigações temporárias (segundo o php.net, elas reduzem o risco, mas não protegem totalmente. A única correção completa é atualizar):

• No php.ini ou no pool do FPM: session.upload_progress.enabled=0 e reinicie todos os workers. No PHP 8.5, também fatal_error_backtraces=0.
• Reduza o post_max_size (8M sem uploads, 32M com uploads) e limite o tamanho das requisições no servidor web ou no proxy.
• Ative as regras de firewall de aplicação (WAF) da sua CDN. Cloudflare, AWS, Akamai, Fastly e Imperva já publicaram proteções.

Precisa de ajuda?

Se tiver dúvidas sobre a versão do PHP no seu serviço ou encontrar algo suspeito, fale com a nossa equipe.