Uma falha no PHP que contorna a aplicação
O PHP2Shell, duas vulnerabilidades críticas identificadas como CVE-2026-109618 e CVE-2026-109619, acaba de atingir a internet. Com uma pontuação CVSS relatada de 9.2, estes não são os típicos bugs de nível de aplicação; eles atingem o próprio coração do interpretador PHP.
O risco central é enganosamente simples: uma solicitação especialmente criada pode desencadear uma condição de falta de memória (OOM) durante o processamento da solicitação. Isso deixa para trás um estado corrompido ou obsoleto, que as rotinas de limpeza do PHP podem manipular incorretamente. O resultado? Execução remota de código não autenticada, dando a um atacante controle total sobre o servidor.
Isso não é apenas mais uma falha de plugin do WordPress. O problema reside fundamentalmente abaixo do código da sua aplicação, dentro do próprio PHP. Pesquisadores de segurança da Wiz demonstraram o impacto devastador do PHP2Shell em instalações novas de:
- WordPress
- Drupal
- Joomla
Até mesmo uma aplicação mínima "Hello World" provou ser vulnerável. Atualizar sua aplicação não resolverá isso; você deve atualizar o PHP. Esta distinção é crucial, ressaltando a gravidade de um bug que contorna as defesas típicas da camada de aplicação e compromete o motor da linguagem diretamente.
Por que a internet acionou o botão de desligar
A presença onipresente do PHP — alimentando cerca de 70% da internet — amplificou a ameaça do PHP2Shell. As vulnerabilidades, CVE-2026-109618 e CVE-2026-109619, afetaram implementações de PHP modernas e legadas, abrangendo mais de uma década de versões. Essa exposição generalizada significou que uma falha central da linguagem, e não um bug de plugin ou aplicação, colocou em risco um vasto segmento da web.
Agências de cibersegurança, incluindo a NSA, CISA, FBI e o NCSC do Reino Unido, emitiram orientações sem precedentes: aplique o patch imediatamente ou coloque sistemas expostos offline se não pudessem ser protegidos a tempo. Isso não foi uma recomendação; foi uma diretiva urgente, refletindo a pontuação crítica CVSS de 9.2 e o potencial para execução remota de código não autenticada.
A internet respondeu com uma onda de desligamentos preventivos. Partes da Wikipedia ficaram fora do ar, o 4chan desconectou-se temporariamente e até fóruns de hackers como o BreachForums desligaram-se voluntariamente. Esses desligamentos não foram compromissos em massa confirmados, mas sim medidas proativas para se isolar contra o desconhecido, ilustrando a gravidade da situação e a consequência imediata e visível para o setor.
Um administrador no Reddit observou que foi seu primeiro desligamento deliberado de site em 20 anos. Essa ação coletiva ressaltou a gravidade do PHP2Shell e o compromisso do setor com a segurança, mesmo ao custo de uma interrupção temporária do serviço.
O patch chegou depois que o segredo foi revelado
Um plano de divulgação coordenada para o PHP2Shell rapidamente se desfez, estreitando a janela para os defensores. Na tarde de terça-feira, detalhes da CVE e uma pontuação CVSS errônea de 10.0 apareceram no Hacker News, alertando prematuramente a comunidade de segurança e potenciais atacantes. Esse vazamento forçou a PHP Foundation a acelerar seu cronograma de lançamento em um dia inteiro.
Simultaneamente, a Calif, uma das empresas que descobriu o bug, publicou acidentalmente um vídeo demonstrando o exploit em ação. Embora rapidamente excluído, cópias circularam pelas redes sociais, fornecendo um plano perigoso para exploração. Horas antes do lançamento oficial, a Chainguard publicou unilateralmente imagens de contêiner PHP corrigidas, efetivamente quebrando o embargo.
Cada vazamento reduziu a vantagem dos defensores. Uma vez que correções ou demonstrações de exploração se tornam públicas, tanto pesquisadores de segurança (white-hat) quanto agentes mal-intencionados podem realizar engenharia reversa nas mudanças, correndo para desenvolver exploits confiáveis. A PHP Foundation e os mantenedores se apressaram para emitir correções, enquanto entidades como Cloudflare e Vercel, tendo recebido aviso prévio, implantaram silenciosamente regras de firewall de proteção. Para uma análise mais profunda sobre a resposta da fundação, veja Today's PHP Security Release, and How We're Strengthening PHP Security.
Quando o patch oficial foi lançado às 2:00 a.m. UTC, o segredo já havia sido revelado. A divulgação caótica significou que, quando as correções ficaram formalmente disponíveis, muitos já sabiam exatamente onde procurar, transformando um lançamento planejado e calmo em uma corrida frenética e pública contra o tempo.
Gostando do artigo? Receba um assim na sua caixa de entrada toda manhã.
um e-mail por dia · cancele em dois cliques · sem rastreadores de terceiros
Corrija todos os servidores PHP esquecidos
Os operadores agora enfrentam uma tarefa clara, embora assustadora: inventariar meticulosamente todos os hosts e containers PHP, confirmar a versão exata do runtime e aplicar uma versão oficial corrigida ou um backport de fornecedor confiável. Crucialmente, verifique se a implantação realmente mudou, pois falhas silenciosas ou problemas de cache podem deixar os sistemas expostos.
A longa cauda de instalações legadas representa o perigo mais significativo. Varreduras revelaram que 59% dos servidores executam PHP 8.1 ou anterior; alguns ramos mais antigos, como o PHP 7.4, exigiram patches criados separadamente, muitas vezes por mantenedores da comunidade como Ondrej Surý. Esses servidores esquecidos, frequentemente não monitorados, são alvos principais.
O PHP2Shell oferece uma lição clara para a indústria: a descoberta assistida por IA acelerará a pesquisa de vulnerabilidades e o desenvolvimento de exploits. O GPT-5.6 Sol da OpenAI e o Gemini 4 Argon do Google teriam contribuído para as descobertas, comprimindo o que antes levava meses em apenas algumas semanas.
Essa mudança de paradigma exige prazos mais rígidos para processos de divulgação e operações de patch. O lançamento caótico do PHP2Shell — marcado por vazamentos precoces e PoCs acidentais — ressalta que até mesmo algumas horas de informação prematura podem desencadear uma corrida. A aplicação proativa de patches e uma resposta robusta a incidentes não são mais opcionais; elas são fundamentais para a segurança na era da IA.
Perguntas Frequentes
O que é o PHP2Shell?
PHP2Shell é o nome dado a duas vulnerabilidades críticas no runtime principal do PHP que podem permitir a execução remota de código.
Por que atualizar o WordPress não corrige o PHP2Shell?
As falhas estão no próprio PHP, não no WordPress ou em um plugin. O runtime do PHP que hospeda a aplicação deve ser corrigido.
O que os operadores de sites PHP devem fazer?
Identifique cada implantação PHP, instale uma versão corrigida do PHP ou um backport de fornecedor e siga as orientações oficiais. Se um sistema não puder ser corrigido ou protegido adequadamente, isole-o ou coloque-o offline.
Foi confirmado que invasores exploraram o PHP2Shell?
A fonte relata tentativas de exploração, mas nenhuma exploração bem-sucedida confirmada no momento da publicação.