RespostasPublicado23 fontes
PHP2Shell: o que aconteceu na crise de segurança de outubro de 2026
As falhas CVE 2026 109618 e CVE 2026 109619 podiam permitir execução remota de código sem autenticação e receberam nota 9,2 no CVSS. Calif descobriu problemas com apoio do GPT 5.6 Sol, e a Wiz também os identificou de forma independente; relatos citam ainda Wiz Atlas e Gemini 4 Argon.
Publicado porEditado com GPT-6 LunaImagens geradas com GPT Image 2
Resposta de pesquisa
Principais conclusões
- As falhas CVE 2026 109618 e CVE 2026 109619 podiam permitir execução remota de código sem autenticação e receberam nota 9,2 no CVSS.
- Calif descobriu problemas com apoio do GPT 5.6 Sol, e a Wiz também os identificou de forma independente; relatos citam ainda Wiz Atlas e Gemini 4 Argon.
- Após detalhes virem a público em 20 de outubro, o PHP antecipou as correções para o dia 21, em vez da data prevista de 22 de outubro.
- Foram identificadas mais de 22,6 milhões de instâncias expostas potencialmente vulneráveis — uma estimativa de exposição, não de invasões confirmadas.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
A crise do PHP2Shell ganhou força em outubro de 2026, quando detalhes de duas vulnerabilidades críticas vieram a público antes da data prevista para a divulgação. O projeto PHP lançou correções emergenciais em 21 de outubro, um dia antes do cronograma original. As falhas poderiam permitir que um invasor executasse código em um servidor sem fazer login. 18
24
O alerta exigiu uma resposta rápida de equipes de segurança e administradores de sites. Mas é importante separar risco de comprometimento: houve relatos de tentativas de exploração, porém as informações disponíveis não comprovam uma onda de invasões bem-sucedidas em larga escala.
Duas falhas no núcleo do PHP
As vulnerabilidades, chamadas em conjunto de PHP2Shell, são a CVE-2026-109618 e a CVE-2026-109619. A primeira envolve corrupção de memória em uma situação de falta de memória; a segunda, um estado global desatualizado. Ambas podem levar à execução remota de código. 7
As duas receberam nota 9,2 na escala CVSS v4.0, usada para classificar a gravidade de falhas de segurança. O risco era especialmente relevante para instalações de PHP que atendem requisições da web: um atacante poderia, em determinadas condições, explorar o servidor sem credenciais. 9
10
Os relatos situam o alcance das falhas entre as versões PHP 5.4 e 8.5 — uma faixa que inclui versões antigas e atuais. 1
14 As correções oficiais foram publicadas para PHP 8.2, 8.3, 8.4 e 8.5: 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
As versões 8.1 e anteriores já não recebem atualizações regulares de segurança do projeto PHP. Isso não significa necessariamente que não exista correção para nenhum sistema: algumas distribuições Linux e fornecedores de suporte de longo prazo podem oferecer correções retroportadas.
Descoberta com ajuda de inteligência artificial
Segundo relatos, a empresa de segurança Calif identificou as falhas em agosto no contexto da iniciativa Patch the Planet, da OpenAI, com apoio do modelo GPT-5.6 Sol. A Wiz também encontrou os problemas de forma independente. Relatos sobre a investigação da empresa citam o uso de Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol em etapas de pesquisa e análise. 6
18
21
A participação de modelos de IA ajudou a colocar o caso no centro do debate sobre segurança digital, mas não permite concluir, por si só, que a IA tenha beneficiado mais defensores ou atacantes. O dado mais claro é que ferramentas de IA foram usadas no processo de descoberta; os relatos disponíveis não medem esse impacto comparativo. 6
21
Vazamento antecipou os patches
Os detalhes das vulnerabilidades foram divulgados em 20 de outubro, antes da data prevista para o anúncio oficial. Com isso, o PHP antecipou a publicação das correções para 21 de outubro. 18
24
A NSA recomendou que organizações identificassem serviços que dependiam de versões vulneráveis do PHP e priorizassem as correções dos fornecedores. A CISA também pediu atualização imediata, enquanto Google, AWS e Microsoft publicaram orientações para seus clientes. 3
17
18
Relatos da época mencionaram sites que ficaram temporariamente fora do ar para receber atualizações de emergência. As informações disponíveis, porém, não detalham quantos serviços foram afetados nem o impacto operacional dessas interrupções.
Exposição não é o mesmo que invasão
Uma estimativa citada pela TechTarget, atribuída à Palo Alto Networks, apontou mais de 22,6 milhões de instâncias expostas potencialmente vulneráveis. A mesma reportagem estimou que o PHP está por trás de cerca de 70% da web. Esses números indicam a dimensão possível da exposição, não que todas essas instâncias tenham sido comprometidas. 23
Também houve notícia de uma tentativa de exploração observada em 17 de outubro, antes da divulgação pública, em telemetria da Amazon. Tentativas de exploração são um sinal de alerta, mas não comprovam que o ataque tenha sido bem-sucedido. 4
A Sansec avaliou em 22 de outubro que uma exploração em massa parecia menos provável do que se temia inicialmente. Portanto, os relatos de sondagens e tentativas não devem ser confundidos com confirmação de invasões generalizadas. 10
Um alerta adicional e outros incidentes
Em 23 de outubro, o PHP publicou uma orientação sobre a CVE-2026-115560, uma via improvável de execução remota de código que depende de uma combinação incomum de configurações de sessão. Como medida temporária, o projeto recomendou desativar session.upload_progress.enabled até a próxima versão regular de correção; a orientação também descreve em que condições a funcionalidade pode permanecer ativada.
Na mesma semana, circularam notícias de outros problemas de segurança sem relação demonstrada com o PHP2Shell. Entre eles estavam uma demonstração chamada “Node2Shell”, envolvendo Node.js, e relatos sobre uma versão comprometida do LiteLLM e chaves de uma autoridade certificadora eMudhra. As fontes disponíveis não indicam que esses episódios tenham sido causados pelas falhas do PHP.
O ponto prático para administradores era claro: localizar todas as instalações de PHP que atendiam requisições web e aplicar a atualização apropriada, verificando também as orientações do provedor de hospedagem ou da distribuição utilizada. A urgência refletia a gravidade e o alcance potencial das falhas — não uma confirmação de que todos os sistemas expostos já tivessem sido invadidos. 17
18
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "PHP2Shell: o que aconteceu na crise de segurança de outubro de 2026"?
As falhas CVE 2026 109618 e CVE 2026 109619 podiam permitir execução remota de código sem autenticação e receberam nota 9,2 no CVSS.
Quais são os pontos-chave para validar primeiro?
As falhas CVE 2026 109618 e CVE 2026 109619 podiam permitir execução remota de código sem autenticação e receberam nota 9,2 no CVSS. Calif descobriu problemas com apoio do GPT 5.6 Sol, e a Wiz também os identificou de forma independente; relatos citam ainda Wiz Atlas e Gemini 4 Argon.
O que devo fazer a seguir na prática?
Após detalhes virem a público em 20 de outubro, o PHP antecipou as correções para o dia 21, em vez da data prevista de 22 de outubro.