Um bug de runtime, não mais um susto com plugins
PHP2Shell refere-se a duas vulnerabilidades críticas, CVE-2026-109618 e CVE-2026-109619, ambas classificadas como 9.2 Crítico. Essas falhas não são mais um susto com plugins ou CMS; elas residem no próprio interpretador PHP, uma distinção crucial que eleva significativamente seu perfil de risco. Isso significa que atualizar sua aplicação por si só não fornece uma correção; você deve atualizar o PHP.
O mecanismo é insidioso: uma requisição maliciosa pode esgotar a memória do PHP durante o processamento inicial da requisição. Isso deixa dados parcialmente inicializados e não limpos na memória. Uma requisição subsequente então explora esse estado incompleto, levando à execução remota de código (RCE) não autenticada antes que qualquer código da aplicação seja executado. Isso ignora a sanitização típica de CMS ou de nível de framework.
O alcance potencial do PHP2Shell é vasto. O PHP alimenta cerca de 70-77% de todos os sites no lado do servidor, tornando esta uma ameaça generalizada. A Wiz, pesquisadores de segurança, demonstrou a explorabilidade contra instalações limpas das versões mais recentes de:
- WordPress
- Drupal
- Joomla
Eles confirmaram ainda que a vulnerabilidade impacta até mesmo uma aplicação mínima Hello, World!, ressaltando que a própria linguagem, e não um código de aplicação específico, está em risco. As versões do PHP afetadas abrangem mais de uma década, da 5.4 até a 8.5, tornando a aplicação de patches uma prioridade urgente para quase todas as implantações de PHP globalmente.
Por que as atualizações de aplicação não vão te salvar
As atualizações de aplicação não resolverão o PHP2Shell. Esta falha opera dentro do próprio interpretador PHP, executando antes de qualquer roteamento de aplicação ou lógica de sanitização de frameworks como WordPress, Drupal ou Joomla. Atualizar sua aplicação ou plugins não oferece defesa; o runtime do PHP subjacente é a superfície de ataque.
O escopo relatado para essas vulnerabilidades, CVE-2026-109618 e CVE-2026-109619, abrange as versões do PHP 5.4 até 8.5. Ação imediata é crítica. A PHP Foundation lançou versões corrigidas: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Para branches legados, exija backports suportados ou priorize a migração para uma versão atual e corrigida.
Os administradores devem realizar um inventário completo de cada runtime PHP em sua infraestrutura, incluindo servidores esquecidos e imagens de container. Aplique o patch ou backport imediatamente e, em seguida, verifique a versão do PHP em execução. Isole quaisquer sistemas que não possam ser corrigidos para evitar uma possível execução remota de código.
Uma divulgação que deu aos atacantes uma vantagem inicial
A divulgação do PHP2Shell foi uma aula de como não gerenciar uma vulnerabilidade crítica, dando aos atacantes uma vantagem inicial desnecessária. Na terça-feira, detalhes da CVE-2026-109618 e CVE-2026-109619 apareceram no Hacker News com uma pontuação de gravidade incorreta de 10.0, forçando a PHP Foundation a acelerar o lançamento de seu patch para quarta-feira. Essa linha do tempo comprimida criou um ambiente caótico.
Complicando ainda mais as coisas, a Calif, uma empresa de segurança envolvida na descoberta, publicou acidentalmente um vídeo demonstrando um exploit funcional. Embora deletado rapidamente, cópias circularam amplamente, essencialmente entregando aos adversários um projeto. Horas antes do patch oficial, a Chainguard lançou imagens de container PHP corrigidas, permitindo que engenheiros reversos analisassem as correções e reconstruíssem vetores de exploit bem antes que a maioria dos defensores pudesse agir.
Esta exposição prematura levou a consequências imediatas. Relatórios confirmam sondagens ativas de pré-divulgação e tentativas de exploração em ambiente real. Embora nenhum comprometimento em massa tenha sido confirmado, a ameaça foi grave o suficiente para que plataformas como 4chan, BreachForums e um serviço da Wikimedia tomassem medidas preventivas, ficando temporariamente offline. Para mais informações sobre esta ameaça crítica, consulte recursos como Critical Vulnerabilities in PHP Require Immediate Patching - CISA. A quebra desta divulgação coordenada ampliou a janela tanto para defensores quanto para atacantes, destacando o equilíbrio delicado da gestão de vulnerabilidades.
Gostando do artigo? Receba um assim na sua caixa de entrada toda manhã.
um e-mail por dia · cancele em dois cliques · sem rastreadores de terceiros
A IA está reduzindo o tempo entre a falha e a violação
Pesquisadores de segurança da Wiz emitiram um alerta severo: um indivíduo alcançou em uma semana o que antes exigia meses de uma equipe especializada. A inteligência artificial está acelerando tanto a análise de vulnerabilidades quanto o desenvolvimento de exploits, reduzindo a janela entre a divulgação e os ataques ativos. Isso altera drasticamente o cenário de risco para softwares fundamentais.
Esta crise do PHP desenrolou-se juntamente com outras vulnerabilidades críticas. O Node.js corrigiu uma falha de execução remota de código e o GitLab disponibilizou uma correção para uma falha de segurança com nota 10.0, CVE-2026-109620, tudo no mesmo dia. As equipes de segurança enfrentam pressão simultânea em componentes de infraestrutura essenciais, confirmando que o risco sistêmico é agora a norma, não a exceção.
O modelo tradicional de divulgação, construído sobre a premissa de que encontrar um bug era a parte difícil, já não se sustenta. Embargos e planos de resposta a vulnerabilidades são cada vez mais frágeis. Quando a Chainguard quebrou unilateralmente o embargo ao publicar imagens PHP corrigidas, deu aos atacantes uma vantagem, acelerando a corrida para a exploração.
Corrigir o PHP agora é inegociável, mesmo para servidores esquecidos. Monitore todos os sistemas em busca de atividades suspeitas. O incidente PHP2Shell é um sinal claro de que a remediação rápida é a sua principal defesa; assuma que qualquer vulnerabilidade divulgada será utilizada como arma com uma velocidade sem precedentes, exigindo uma resposta imediata e decisiva.
Perguntas Frequentes
O que é o PHP2Shell?
PHP2Shell é o nome dado a duas vulnerabilidades críticas de tempo de execução do PHP que podem permitir a execução remota de código em servidores vulneráveis.
Quais versões do PHP são afetadas?
As falhas relatadas afetam as versões do PHP de 5.4 a 8.5. As versões corrigidas incluem PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
Atualizar o WordPress ou outro CMS pode corrigir o PHP2Shell?
Não. As falhas estão no interpretador PHP, portanto, os administradores devem atualizar o próprio PHP ou aplicar um backport apropriado.
Os administradores devem colocar sites PHP vulneráveis offline?
Se não puderem corrigir ou aplicar um backport prontamente, as agências aconselharam desconectar as instâncias afetadas até que possam ser protegidas.