RespostasPublicado24 fontes
PHP2Shell: o que as falhas críticas no PHP significam e como agir
PHP2Shell reúne duas falhas críticas no PHP que podem permitir execução remota de código sem autenticação; ambas receberam nota 9,2 no CVSS. As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Publicado porEditado com GPT-6 LunaImagens geradas com GPT Image 2
Resposta de pesquisa
Principais conclusões
- PHP2Shell reúne duas falhas críticas no PHP que podem permitir execução remota de código sem autenticação; ambas receberam nota 9,2 no CVSS.
- As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A recomendação é identificar as instalações em uso e aplicar a correção do fornecedor.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell é o nome dado a duas vulnerabilidades críticas no processamento de requisições do PHP: CVE-2026-109618 e CVE-2026-109619. Elas podem permitir que um invasor execute código em um servidor afetado sem fazer login. O PHP publicou correções emergenciais em 21 de outubro de 2026, depois que informações sobre as falhas vieram a público antes do previsto. Relatos de tentativas de ataque, por si só, não comprovam que sistemas tenham sido comprometidos. 4
6
15
O que as falhas PHP2Shell fazem
As duas vulnerabilidades estão no próprio PHP, e não em um aplicativo específico de um site. Os avisos de segurança apontam que versões a partir do PHP 5.4 podem ser afetadas quando processam tráfego da web. 8
14
As causas são diferentes: a CVE-2026-109618 envolve corrupção de memória em uma condição de falta de memória; a CVE-2026-109619 está relacionada a um estado global obsoleto. As duas receberam nota 9,2 no CVSS 4.0, classificação considerada crítica. 4
15
O PHP é amplamente usado, mas as fontes disponíveis não estabelecem uma porcentagem confiável de todos os sites que estariam vulneráveis. Estimativas podem usar denominadores diferentes e não devem ser interpretadas como uma contagem de sites afetados. Para quem administra sistemas, a questão prática é verificar se há alguma instalação PHP exposta a requisições da web sem a correção aplicada. 3
14
Divulgação, pesquisa com IA e correções
As vulnerabilidades vieram a público em 20 de outubro, um dia antes da publicação das correções emergenciais e antes da divulgação originalmente prevista para 22 de outubro. 6
7
16
A Cloudflare creditou Calif, Wiz, OpenAI e Quarkslab em seu relato sobre a divulgação. Reportagens da época descreveram uma pesquisa de Calif com auxílio de IA e disseram que a Wiz descobriu e reportou as falhas de forma independente. As fontes disponíveis não detalham com precisão a contribuição técnica de cada participante. 14
20
As versões corrigidas publicadas em 21 de outubro são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. 15
16 Administradores devem identificar quais versões estão em produção e instalar a versão corrigida correspondente ou uma correção retroportada pelo fornecedor, desde que confirmada. Alguns provedores aplicam correções de segurança sem alterar o número-base exibido; se a versão parecer antiga, consulte o aviso do provedor.
1
O que se sabia sobre tentativas de exploração
Em 21 de outubro, veículos de segurança relataram tentativas de ataque contra as falhas. A Cloudflare disse ter observado tráfego de ataque, e a SecurityWeek noticiou que várias empresas de cibersegurança detectaram tentativas antes da publicação dos patches. 14
15
As informações não sustentavam uma conclusão única e definitiva sobre invasões bem-sucedidas. Um resumo posterior dos relatos de 21 de outubro informou que, naquele momento, a CISA e o Centro Canadense de Cibersegurança não haviam observado ou identificado exploração, enquanto empresas de segurança relatavam tentativas. São afirmações diferentes: uma requisição maliciosa não prova que a invasão funcionou, assim como a ausência de registros de uma agência não prova que nenhum sistema tenha sido comprometido. 25
Correções, inventário e defesas temporárias
A NSA recomendou que as organizações priorizassem os patches dos fornecedores e fizessem um inventário de serviços de hardware e software dependentes de versões vulneráveis do PHP. 17 Também houve relatos de que a CISA pedia a aplicação imediata das correções.
20 Se não for possível corrigir rapidamente um serviço afetado, as orientações noticiadas incluíram tirá-lo temporariamente do ar, em vez de mantê-lo exposto.
7
21
A Cloudflare informou que clientes de seu WAF — firewall de aplicação web — nos planos gratuito e pago passaram a contar com proteção padrão contra PHP2Shell a partir de 3h02 UTC de 21 de outubro. 14 Essa camada pode ajudar a reduzir o risco, mas não substitui a atualização do PHP. Uma regra de filtragem não é garantia de que o servidor vulnerável esteja seguro.
14
17
O caso também levou a verificações além das hospedagens PHP convencionais. A Help Net Security informou que a Palo Alto Networks considerava afetadas todas as versões do PAN-OS e do Panorama e que, no momento da reportagem, ainda não havia correções disponíveis. 33 A exposição e as medidas de mitigação variam conforme o produto; organizações que usam appliances ou plataformas gerenciadas devem seguir os avisos de seus fornecedores, sem presumir que uma atualização de pacote PHP resolva o problema nesses produtos.
O que fazer agora
Trate PHP2Shell como uma prioridade de atualização: faça o inventário dos serviços PHP, instale uma versão corrigida ou confirme que o fornecedor aplicou um backport. Isolamento temporário ou filtragem podem servir como medidas provisórias, mas não substituem a correção. Os relatos de 21 de outubro justificam atenção às tentativas de ataque, mas não permitem classificar toda tentativa como uma invasão confirmada. 1
15
17
25
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "PHP2Shell: o que as falhas críticas no PHP significam e como agir"?
PHP2Shell reúne duas falhas críticas no PHP que podem permitir execução remota de código sem autenticação; ambas receberam nota 9,2 no CVSS.
Quais são os pontos-chave para validar primeiro?
PHP2Shell reúne duas falhas críticas no PHP que podem permitir execução remota de código sem autenticação; ambas receberam nota 9,2 no CVSS. As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A recomendação é identificar as instalações em uso e aplicar a correção do fornecedor.
Fontes
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...