RespostasPublicado23 fontes
PHP2Shell: o que são as falhas críticas no PHP e como se proteger
PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP, ambas com nota 9,2 no CVSS v4.0 e potencial para permitir execução remota de código sem autenticação. As falhas envolvem tratamento de falta de memória e estado interno obsoleto.
Publicado porEditado com GPT-6 LunaImagens geradas com GPT Image 2
Resposta de pesquisa
Principais conclusões
- PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP, ambas com nota 9,2 no CVSS v4.0 e potencial para permitir execução remota de código sem autenticação.
- As falhas envolvem tratamento de falta de memória e estado interno obsoleto. Relatos apontam risco em versões desde o PHP 5.4; sistemas em versões antigas ou sem suporte devem consultar as orientações do fornecedor.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell é o nome dado a duas vulnerabilidades críticas no núcleo do PHP: CVE-2026-109618 e CVE-2026-109619. Ambas receberam nota 9,2, classificada como crítica, no CVSS v4.0 e podem permitir que alguém sem autenticação execute código em um servidor vulnerável. O projeto PHP lançou correções emergenciais em 21 de outubro de 2026. 
A prioridade para quem administra sistemas é atualizar o PHP. Relatos de tentativas de exploração — incluindo uma observação em um honeypot da Amazon antes da divulgação pública — reforçam a urgência, mas não comprovam que um sistema de produção tenha sido invadido. 36
O que as duas vulnerabilidades PHP2Shell fazem
Os relatos descrevem mecanismos diferentes para cada falha:
- CVE-2026-109618 envolve o tratamento de falta de memória. Uma situação de esgotamento de memória pode interromper o processamento do PHP enquanto dados internos da requisição ainda estão parcialmente inicializados. Durante a limpeza, o PHP pode então tratar dados inválidos como se fossem válidos.
58
- CVE-2026-109619 envolve estado interno obsoleto. Segundo os relatos, informações relacionadas à requisição podem permanecer após a liberação da memória que as armazenava, criando um problema conhecido como uso após liberação (use-after-free).
9
As falhas afetam o processamento de requisições HTTP especialmente preparadas, incluindo dados no formato multipart, comumente usado em envios de arquivos. 1
Por que a nota é 9,2 — e o que ela não informa
As duas vulnerabilidades são classificadas como 9,2 de 10, crítica, no CVSS v4.0. O risco de execução remota de código sem autenticação é um fator central: um invasor não precisa fazer login para tentar executar código em um servidor afetado.
As fontes disponíveis não trazem os vetores CVSS completos. Por isso, não permitem detalhar precisamente como cada fator da avaliação resulta na nota 9,2. A classificação indica a gravidade, mas não determina a probabilidade de ataque a um servidor específico nem confirma se uma tentativa observada teve sucesso.
Quais versões do PHP são afetadas e quais corrigem o problema
Relatos indicam que a faixa vulnerável começa no PHP 5.4. 55 As versões corrigidas de emergência informadas para as ramificações 8.x são:
| Ramificação do PHP | Versão corrigida |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Essas versões foram lançadas em 21 de outubro de 2026. Atualize para a versão corrigida correspondente à sua ramificação ou para uma versão posterior dela.
As correções listadas cobrem as ramificações 8.2 a 8.5. Se o sistema usa uma versão mais antiga ou sem suporte, consulte o distribuidor do PHP ou o fornecedor do sistema operacional para obter as correções e instruções aplicáveis. Não presuma que uma das versões da tabela se aplica diretamente.
Divulgação e exploração: tentativas não são invasões confirmadas
As vulnerabilidades se tornaram públicas em 20 de outubro, antes da divulgação planejada para 22 de outubro. O PHP publicou as correções emergenciais no dia 21. 8
42 As fontes confirmam a divulgação antecipada e o lançamento adiantado das correções, mas não demonstram que um vídeo de demonstração publicado por engano pela Calif tenha sido o motivo da mudança.
A Amazon Threat Intelligence informou ter identificado, em dados de telemetria do honeypot MadPot, uma tentativa de exploração de PHP2Shell datada de 17 de outubro — quatro dias antes da divulgação pública. A Amazon também relatou ter identificado provas de conceito de exploração por volta do lançamento das correções, em 21 de outubro. A telemetria de um honeypot registra atividade contra um sistema-isca, não uma invasão confirmada de uma organização real.
A Cloudflare informou que implantou proteções por volta da divulgação, e relatos da época mencionam tráfego de ataque ou tentativas observadas por empresas de segurança. 55
35 As informações sobre a escala e o sucesso da exploração não foram uniformes: alguns fornecedores disseram observar exploração ativa ou em larga escala, enquanto outros relatos contemporâneos destacaram que órgãos governamentais não haviam confirmado ataques bem-sucedidos.
33
36
As evidências justificam levar as tentativas a sério, mas não permitem tratar cada tentativa relatada como uma invasão bem-sucedida nem concluir que os ataques foram generalizados. Ao avaliar a exposição e relatos de incidentes, é importante manter essas categorias separadas.
O que fazer enquanto aplica a correção
Instale a versão corrigida do PHP: essa é a principal medida de remediação. Segundo a AWS, a atualização é a única correção completa. Se não for possível atualizar imediatamente, medidas temporárias para reduzir a exposição podem incluir bloquear envios de arquivos multipart. Elas não substituem a atualização.
O Centro Canadense de Segurança Cibernética publicou um alerta crítico descrevendo as vulnerabilidades e o risco de execução de código sem autenticação. 2 As fontes disponíveis também relatam uma recomendação da NSA para tirar sistemas do ar caso não seja possível atualizá-los de imediato.
27 Consulte os avisos aplicáveis ao seu ambiente, especialmente se o PHP vier integrado a um produto ou for administrado por um provedor de hospedagem.
Em termos práticos: identifique onde o PHP está em uso, aplique a correção adequada e avalie alertas com cuidado. A gravidade do PHP2Shell exige rapidez — mas uma tentativa, uma exploração funcional e uma invasão confirmada em produção são coisas diferentes.
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "PHP2Shell: o que são as falhas críticas no PHP e como se proteger"?
PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP, ambas com nota 9,2 no CVSS v4.0 e potencial para permitir execução remota de código sem autenticação.
Quais são os pontos-chave para validar primeiro?
PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP, ambas com nota 9,2 no CVSS v4.0 e potencial para permitir execução remota de código sem autenticação. As falhas envolvem tratamento de falta de memória e estado interno obsoleto. Relatos apontam risco em versões desde o PHP 5.4; sistemas em versões antigas ou sem suporte devem consultar as orientações do fornecedor.