RespostasPublicado27 fontes
PHP2Shell: entenda as falhas críticas no PHP e saiba como agir
PHP2Shell é o nome dado a duas falhas críticas no PHP, com nota 9,2, que podem permitir a execução de código em um servidor vulnerável sem autenticação. Há relatos de tentativas de exploração, mas isso não significa que os ataques tenham sido bem sucedidos nem comprova invasões em larga escala.
Publicado porEditado com GPT-6 LunaImagens geradas com GPT Image 2
Resposta de pesquisa
Principais conclusões
- PHP2Shell é o nome dado a duas falhas críticas no PHP, com nota 9,2, que podem permitir a execução de código em um servidor vulnerável sem autenticação.
- Há relatos de tentativas de exploração, mas isso não significa que os ataques tenham sido bem sucedidos nem comprova invasões em larga escala.
- Administradores devem verificar a versão do PHP em produção e aplicar uma correção oficial ou fornecida pelo próprio fornecedor; MFA e senhas fortes não corrigem a falha no servidor.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the global “php2shell” crisis involving PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619, why did Microsoft CEO Satya Nadella. Article summary: “PHP2Shell” is an urgent PHP security and patching incident involving CVE-2026-109618 and CVE-2026-109619: two critical flaws that can let an attacker execute code on a vulnerable web server without logging in, potential. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP, identificadas como CVE-2026-109618 e CVE-2026-109619. Se exploradas com sucesso, elas podem permitir que um invasor sem autenticação execute código em um servidor afetado. As correções foram lançadas em 21 de outubro de 2026, e empresas de segurança relataram tentativas de exploração — mas tentativas não são o mesmo que invasões confirmadas.11
14
19
O que as falhas PHP2Shell fazem
As vulnerabilidades estão no próprio PHP, não em um site específico ou em um sistema de gerenciamento de conteúdo. Segundo a Red Hat, uma delas envolve o tratamento incorreto da memória quando uma alocação falha durante o processamento de uma requisição; a outra pode deixar dados internos em um estado desatualizado quando um erro fatal interrompe a limpeza.7 Em conjunto, os problemas podem abrir caminho para a execução remota de código: em outras palavras, um invasor pode conseguir executar comandos em um servidor vulnerável sem fazer login antes.
11
13
As duas falhas receberam nota 9,2 no CVSS 4.0, classificação considerada crítica.4 As possíveis consequências incluem o comprometimento de servidores, exposição de dados e interrupção de serviços. Isso não significa, porém, que todos os sites que usam PHP tenham sido atacados ou invadidos.
13
Por que o caso gerou tanta urgência
Relatos indicam que as falhas estavam presentes no PHP havia anos antes de serem identificadas.42 A longevidade de um problema no código, por si só, não prova que invasores já o conhecessem ou o explorassem durante todo esse período.
A descoberta também chamou atenção para o uso de inteligência artificial na pesquisa de segurança. Segundo as reportagens, Calif e Wiz usaram ferramentas de IA em suas investigações, e a OpenAI participou do trabalho de pesquisa e divulgação.34
44 A IA pode ajudar especialistas a analisar software, mas a história da descoberta, sozinha, não permite concluir com que rapidez invasores poderiam usar ferramentas semelhantes nem qual lado teria vantagem.
Algumas manchetes destacaram o amplo uso do PHP — estimado em certas reportagens em cerca de 70% dos sites.20 Esse número se refere à presença atribuída à linguagem, não à quantidade de servidores comprovadamente vulneráveis ou invadidos. A exposição real depende da versão do PHP, da configuração, da forma de implantação e da aplicação de correções.
Patches, tentativas de ataque e o que as evidências mostram
O projeto PHP lançou correções em 21 de outubro para as versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12.19 Essa lista cobre as versões de 8.2 a 8.5. Quem usa versões mais antigas deve consultar os avisos de segurança do sistema operacional ou do provedor de hospedagem para saber se há uma correção verificada ou um backport — uma correção adaptada a uma versão anterior —, sem presumir que ela exista ou que não exista.
Há relatos de tentativas de exploração. A SecurityWeek informou que a Amazon observou uma tentativa em 17 de outubro, quatro dias antes do lançamento dos patches.14 A Cloudflare também relatou um aumento acentuado no tráfego de tentativas após a divulgação pública, com contagens que chegaram a milhões em relatos posteriores.
27
38 Esses números descrevem tentativas observadas, não invasões bem-sucedidas.
Os relatos sobre a dimensão da exploração não são uniformes: algumas fontes descrevem tentativas ativas, enquanto outra afirma que uma exploração em massa parecia menos provável do que se esperava inicialmente.3
4 As informações disponíveis não comprovam um comprometimento generalizado. É importante levar a sério relatos confiáveis de ataques, mas também distinguir varreduras e tentativas de exploração de evidências de que um servidor específico foi invadido.
2
3
O que fizeram órgãos públicos e operadores de serviços
Algumas organizações tiraram serviços acessíveis ao público do ar temporariamente enquanto respondiam ao alerta. Há relatos de desligamentos ou períodos de manutenção no Japão, na França, na Finlândia e nos Países Baixos; órgãos dos Estados Unidos e da Europa também recomendaram que as organizações agissem.18
20
35 Tirar um site do ar pode reduzir a exposição durante uma resposta, mas não é prova de que ele tenha sido comprometido.
As informações reunidas para este artigo não confirmam de forma independente as declarações atribuídas ao CEO da Microsoft, Satya Nadella, em um evento em Colônia — nem a formulação nem o contexto. Sem uma confirmação confiável, essas falas não devem ser usadas para explicar a resposta ao caso ou caracterizar o incidente.
O que operadores de PHP devem fazer
- Verifique o ambiente de execução, não só a aplicação. PHP2Shell afeta o runtime do PHP. Atualizar um CMS ou um plugin, por si só, não confirma que a instalação do PHP foi corrigida.
13
- Aplique uma correção verificada. Atualize para uma versão corrigida do PHP ou siga as instruções do fornecedor para instalar um backport. Confirme qual versão está efetivamente em uso no ambiente de produção.
19
- Procure sinais de comprometimento. Aplicar um patch corrige a vulnerabilidade, mas não prova que o servidor nunca foi acessado. Revise os registros pertinentes e investigue atividades suspeitas antes de retomar a operação normal.
- Use medidas temporárias com cautela. Siga as orientações atuais dos mantenedores do PHP ou do fornecedor. Não dependa de uma única mudança de configuração nem de um firewall de aplicações web como substituto de uma correção verificada no runtime.
15
27
- Reforce a segurança das contas como camada adicional. Senhas exclusivas e autenticação multifator ajudam a proteger contas, mas não corrigem uma falha de execução de código no servidor que não exige autenticação.
Para equipes de TI, faz diferença separar vulnerabilidade, tentativa de exploração e comprometimento confirmado. Essa distinção permite tratar a correção como urgente sem transformar alegações incertas em conclusões sobre quem foi invadido.
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "PHP2Shell: entenda as falhas críticas no PHP e saiba como agir"?
PHP2Shell é o nome dado a duas falhas críticas no PHP, com nota 9,2, que podem permitir a execução de código em um servidor vulnerável sem autenticação.
Quais são os pontos-chave para validar primeiro?
PHP2Shell é o nome dado a duas falhas críticas no PHP, com nota 9,2, que podem permitir a execução de código em um servidor vulnerável sem autenticação. Há relatos de tentativas de exploração, mas isso não significa que os ataques tenham sido bem sucedidos nem comprova invasões em larga escala.
O que devo fazer a seguir na prática?
Administradores devem verificar a versão do PHP em produção e aplicar uma correção oficial ou fornecida pelo próprio fornecedor; MFA e senhas fortes não corrigem a falha no servidor.
Fontes
cyber.gc.caAL26-026 - Critical vulnerabilities impacting PHP - CVE- ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php...