RespostasPublicado22 fontes
PHP2Shell: entenda as falhas críticas no PHP e saiba quais versões corrigem o problema
PHP2Shell é o nome dado a duas falhas no PHP, ambas com nota 9,2, que podem permitir execução remota de código sem autenticação. As correções saíram em 21 de outubro de 2026, antes da divulgação prevista, após os identificadores CVE circularem online.
Publicado porEditado com GPT-6 LunaImagens geradas com GPT Image 2
Resposta de pesquisa
Principais conclusões
- PHP2Shell é o nome dado a duas falhas no PHP, ambas com nota 9,2, que podem permitir execução remota de código sem autenticação.
- As correções saíram em 21 de outubro de 2026, antes da divulgação prevista, após os identificadores CVE circularem online.
- Houve relatos de tentativas de exploração, mas eles não comprovam, por si só, que servidores tenham sido invadidos.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP: CVE-2026-109618 e CVE-2026-109619. Ambas receberam nota 9,2 no CVSS v4.0 e podem permitir que um invasor execute código remotamente em um servidor afetado, sem precisar se autenticar. O PHP publicou as correções em 21 de outubro de 2026, depois que detalhes do problema vieram a público antes do previsto. Relatos de tentativas de ataque surgiram rapidamente, mas tentativa não é o mesmo que invasão bem-sucedida. 1
3
14
O que as falhas PHP2Shell fazem
Os problemas estão no processamento de requisições e no gerenciamento de memória do próprio PHP — não em um framework específico de sites. A CVE-2026-109618 envolve o tratamento de uma situação de falta de memória; a CVE-2026-109619, um estado interno obsoleto. O risco relatado é a execução remota de código sem autenticação. 1
14
Por isso, a versão do PHP importa mesmo que não haja uma falha conhecida no código da aplicação. As orientações operacionais incluem instalações usadas para atender requisições da web entre as que precisam ser verificadas. 55
Versões corrigidas do PHP
As versões com as correções foram publicadas em 21 de outubro de 2026:
Quem usa uma versão anterior dessas linhas deve atualizar para a versão corrigida correspondente. A divulgação antecipada dos detalhes levou à liberação das correções antes da data inicialmente prevista. 3
13
33
Como os identificadores vazaram
Em 20 de outubro, uma publicação no Hacker News mencionou os dois identificadores CVE e afirmou que os detalhes seriam divulgados em 22 de outubro. A postagem foi removida, mas capturas de tela circularam. Pesquisadores de segurança disseram depois que as informações eram reais e estavam sob embargo — ou seja, deveriam permanecer confidenciais até a divulgação coordenada. 3
Reportagens atribuíram à Calif a identificação de uma das falhas com ajuda de um modelo da OpenAI. A Wiz também descobriu e reportou as vulnerabilidades de forma independente, segundo a cobertura da resposta coordenada. As informações disponíveis não comprovam que as falhas tenham existido por cerca de 20 anos nem permitem atribuir cada CVE a uma equipe específica. 27
33
Serviços tirados do ar e orientações oficiais
Algumas organizações deixaram serviços temporariamente indisponíveis como precaução enquanto avaliavam o risco. Entre os serviços mencionados em reportagens estão os associados ao Ministério das Finanças do Japão, à BambooHR, ao Porto de Roterdã e à Wikimedia, organização que opera a Wikipédia. Essas interrupções, por si só, não provam que houve invasão. 19
A CISA, agência de cibersegurança dos Estados Unidos, orientou organizações com sites baseados em PHP a instalar as correções imediatamente. 33 As reportagens fornecidas não estabelecem um total confiável de serviços desligados nem confirmam todas as alegações sobre hospitais, escolas e órgãos públicos afetados.
O que os relatos de exploração mostram — e o que não mostram
Os relatos descrevem atividade antes e depois da divulgação pública:
- A Amazon afirmou que seu honeypot MadPot — um sistema-isca usado para observar atividades maliciosas — detectou uma tentativa de exploração em 17 de outubro, antes da publicação das correções, em 21 de outubro. Isso comprova uma tentativa contra aquele sensor, não uma invasão bem-sucedida em outro lugar.
50
58
- A Cloudflare relatou milhares de tentativas nas dez horas anteriores ao anúncio público e milhões depois da divulgação. Os números representam tentativas observadas em sua rede, não servidores comprovadamente comprometidos.
36
- Na época de seu alerta, a CISA disse que não havia observado exploração. Essa declaração descreve o que a agência tinha visto naquele momento e não invalida tentativas identificadas por empresas de segurança com outras fontes de dados.
- A Sophos corrigiu uma avaliação anterior de exploração bem-sucedida em ambientes de clientes. Segundo a atualização, a telemetria da empresa mostrava varreduras e um pequeno número de tentativas malsucedidas, sem evidência de invasão bem-sucedida em seus ambientes até aquele momento.
7
Em conjunto, os relatos justificam tratar o PHP2Shell com urgência: havia tentativas sendo observadas e o impacto potencial era grave. Mas eles não demonstram que todas as tentativas deram certo nem oferecem um total definitivo de sistemas comprometidos.
O que as informações disponíveis não comprovam
As reportagens fornecidas não apresentam uma contagem confiável de servidores vulneráveis expostos à internet, não confirmam que as falhas existissem havia cerca de 20 anos e não demonstram que invasores tenham usado inteligência artificial para criar exploits para o PHP2Shell. Há relatos de uso de IA no processo de descoberta, mas isso não é evidência de como atacantes encontraram ou exploraram as vulnerabilidades. 27
33
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "PHP2Shell: entenda as falhas críticas no PHP e saiba quais versões corrigem o problema"?
PHP2Shell é o nome dado a duas falhas no PHP, ambas com nota 9,2, que podem permitir execução remota de código sem autenticação.
Quais são os pontos-chave para validar primeiro?
PHP2Shell é o nome dado a duas falhas no PHP, ambas com nota 9,2, que podem permitir execução remota de código sem autenticação. As correções saíram em 21 de outubro de 2026, antes da divulgação prevista, após os identificadores CVE circularem online.
O que devo fazer a seguir na prática?
Houve relatos de tentativas de exploração, mas eles não comprovam, por si só, que servidores tenham sido invadidos.