RespostasPublicado30 fontes
PHP2Shell: o que as falhas críticas de 2026 significam para sites e servidores
PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP, CVE 2026 109618 e CVE 2026 109619, que poderiam permitir a execução remota de código sem autenticação. O PHP publicou versões corrigidas em 21 de outubro de 2026.
Publicado porEditado com GPT-6 LunaImagens geradas com GPT Image 2
Resposta de pesquisa
Principais conclusões
- PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP, CVE 2026 109618 e CVE 2026 109619, que poderiam permitir a execução remota de código sem autenticação.
- O PHP publicou versões corrigidas em 21 de outubro de 2026. Administradores devem atualizar o ambiente de execução e confirmar se a correção está ativa.
- Houve relatos de varreduras e tentativas de exploração, mas esses registros não comprovam, por si só, invasões bem sucedidas ou comprometimento em massa.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the October 2026 “PHP2Shell” cybersecurity crisis involving AI-discovered flaws CVE-2026-109618 and CVE-2026-109619 in PHP, which po. Article summary: PHP2Shell is the name given to two critical PHP vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution; emergency patches and precautionary shutdowns followed their Oc. Topic tags: general, general web, government, news, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermar
PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP: CVE-2026-109618 e CVE-2026-109619. As falhas poderiam permitir a execução remota de código sem que o atacante precisasse fazer login, o que representa um risco sério para servidores afetados. O PHP publicou correções em 21 de outubro de 2026, e algumas organizações tiraram serviços do ar temporariamente por precaução. Relatos de varreduras e tentativas de exploração, porém, não devem ser confundidos com invasões confirmadas. 4
7
18
O que as falhas do PHP2Shell permitem
As vulnerabilidades estão no próprio PHP, não em um plugin específico ou em um aplicativo de site. Uma falha envolve o tratamento de falta de memória; a outra, um estado global obsoleto. Em determinadas condições, uma requisição especialmente criada poderia levar à execução remota de código. Uma das falhas também pode expor dados sensíveis da memória do processo. 4
11
O PHP é amplamente usado, e algumas estimativas dizem que a linguagem está presente em até 70% dos sites. Isso não significa que todos os sites que usam PHP estivessem vulneráveis ou expostos da mesma maneira: o risco depende da versão, da configuração e de o caminho de código afetado poder ser alcançado. 45
46
Descoberta com ajuda de IA e corrida para divulgar correções
Relatos atribuem a pesquisadores e equipes da Wiz, da Calif e da OpenAI o trabalho que identificou e ajudou a corrigir as falhas; algumas coberturas mencionaram a participação de inteligência artificial na pesquisa. As informações disponíveis não confirmam todos os detalhes sobre a descoberta, como uma sequência específica de WordPress para Drupal ou a divisão exata do trabalho em cada CVE. 14
45
Segundo relatos sobre o caso, o problema de gerenciamento de memória já havia sido percebido antes de seu potencial para execução remota de código ser demonstrado. A diferença é importante: identificar um erro suspeito não é o mesmo que comprovar um caminho de ataque prático. 22
38
Detalhes vazaram antes da divulgação pública planejada, aumentando a pressão sobre as equipes e contribuindo para a corrida por correções. 6
23 O episódio mostra como a resposta a uma falha pode virar um problema operacional quando divulgação, verificação e instalação de atualizações precisam acontecer em pouco tempo.
Correções, tentativas de ataque e o que os relatos comprovam
As versões corrigidas do PHP anunciadas em 21 de outubro foram 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Administradores também devem consultar os avisos do fornecedor do sistema operacional ou da hospedagem: alguns distribuem correções adaptadas, conhecidas como backports, sem alterar o número da versão original do PHP. 4
39
Empresas de segurança relataram varreduras ou tentativas de exploração perto da divulgação, e relatos relacionados à Cloudflare apontaram um aumento acentuado no volume de tentativas. Esses números contabilizam requisições ou tentativas observadas por serviços específicos; não demonstram quantos sistemas foram comprometidos. 5
36
Os relatos divergiram sobre a confirmação de explorações bem-sucedidas. A BBC informou que não havia registro de exploração bem-sucedida até 22 de outubro; mais tarde, um alerta da Beazley afirmou que houve relatos de tentativas em larga escala, mas que a empresa não tinha conhecimento de exploração em massa confirmada. A Sansec também revisou sua avaliação e disse que a exploração em massa parecia menos provável do que se imaginava inicialmente. Essas avaliações refletem o momento em que foram feitas — e nenhuma delas torna seguro deixar um servidor sem correção. 7
9
18
Por que alguns serviços ficaram fora do ar
Algumas organizações desativaram ou limitaram temporariamente serviços enquanto avaliavam a exposição e preparavam atualizações. Segundo relatos, o governo britânico tirou 32 serviços do ar. Um monitor de status registrou mais de 100 serviços com avisos de indisponibilidade, manutenção ou alerta sobre o PHP2Shell antes da disponibilização de uma correção. Essas medidas mostram o impacto operacional de uma atualização emergencial, mas não comprovam, por si só, que os serviços tenham sido atacados. 22
34
Outros relatos descreveram medidas adotadas por governos e organizações em diferentes países, mas as informações disponíveis não estabelecem uma lista completa e verificada de serviços afetados nem confirmam todas as interrupções locais mencionadas. 20
25
O que operadores de sites devem fazer
- Localize todas as instalações de PHP. Verifique servidores de produção, contêineres, sistemas secundários e hospedagens gerenciadas — não apenas o site principal.
- Instale a correção adequada o quanto antes. Use uma versão corrigida ou um backport confirmado pelo fornecedor. Reinicie os processos ou serviços PHP quando necessário e confira qual versão está em execução. Atualizar o aplicativo ou os plugins do site não substitui a correção do PHP.
14
39
- Reduza a exposição se não puder atualizar imediatamente. Conforme a exposição e o impacto para a operação, considere restringir o acesso público ou desativar temporariamente o serviço afetado. Regras de rede podem ajudar como medida provisória, mas não substituem a atualização.
- Procure sinais de comprometimento. Revise os registros relevantes e verifique se há arquivos, processos ou contas administrativas inesperados. Se houver suspeita de invasão, preserve as evidências e investigue: instalar a correção não elimina uma intrusão que já tenha ocorrido.
- Confirme a cobertura com seus fornecedores. Pequenas organizações que usam hospedagem ou serviços gerenciados devem pedir confirmação explícita de que todas as instâncias de PHP das quais dependem foram corrigidas.
A NSA recomendou a aplicação de correções críticas e informou que estava priorizando a identificação de agentes maliciosos que poderiam tentar explorar o PHP2Shell. O FBI também orientou organizações a atualizar suas instalações de PHP. As fontes disponíveis não comprovam a existência de uma única ordem conjunta do FBI, da NSA e da CISA determinando que todas as organizações desligassem os sistemas caso não conseguissem aplicar as correções. 17
28
O que usuários podem fazer — e o que não está ao seu alcance
Mantenha dispositivos pessoais, aplicativos e roteadores atualizados, use autenticação multifator e escolha senhas exclusivas para cada serviço. São boas práticas gerais de segurança, mas não corrigem o PHP de um servidor de site: essa tarefa cabe ao operador ou ao provedor de hospedagem.
A principal lição do PHP2Shell é a necessidade de aplicar correções com rapidez, verificar se foram instaladas corretamente e estar preparado para respostas em prazos curtos. O caso justifica preocupação com a velocidade de evolução da pesquisa de vulnerabilidades e das tentativas de exploração, mas os dados não permitem tratar números de tentativas como prova de comprometimento em massa nem afirmar que a segurança de toda a web entrou em colapso.
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "PHP2Shell: o que as falhas críticas de 2026 significam para sites e servidores"?
PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP, CVE 2026 109618 e CVE 2026 109619, que poderiam permitir a execução remota de código sem autenticação.
Quais são os pontos-chave para validar primeiro?
PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP, CVE 2026 109618 e CVE 2026 109619, que poderiam permitir a execução remota de código sem autenticação. O PHP publicou versões corrigidas em 21 de outubro de 2026. Administradores devem atualizar o ambiente de execução e confirmar se a correção está ativa.
O que devo fazer a seguir na prática?
Houve relatos de varreduras e tentativas de exploração, mas esses registros não comprovam, por si só, invasões bem sucedidas ou comprometimento em massa.
Fontes
dynatrace.comCVE-2026-109618 & CVE-2026-109619: PHP2Shell Critical ...
labs.beazley.securityPHP2SHELL: Critical PHP RCE Flaws Threaten Web Infrastructure ...
bbc.comPHP: What is it and why did it spark a global cyber security ...
sec.cloudapps.cisco.comVulnerabilities in PHP Affecting Cisco Products: October 2026