PHP2Shell: 2 falhas críticas RCE no PHP corrigidas

Em 21 de outubro de 2026, o PHP lançou patches emergenciais para o PHP2Shell, duas falhas críticas de RCE (CVE-2026-109618 e CVE-2026-109619). Ambas têm nota 9,2 no CVSS v4.0 e afetam PHP 5.4 a 8.5, usado por cerca de 69% dos sites. Uma única requisição multipart/form-data maliciosa aciona os bugs, sem login.

O que é PHP2Shell?

É uma cadeia que combina dois bugs de memória no próprio PHP, descobertos pela Calif com a OpenAI e pela Wiz. O nome veio de captura e vídeo vazados de um exploit funcional.

Quando uma requisição PHP falha gravemente — geralmente por falta de memória —, a limpeza libera memória ainda apontada por outras partes do worker. O atacante manipula esse estado para executar código na requisição seguinte, antes de qualquer código do site rodar.

vulnerabilidades críticas de segurança do PHP já mostraram como a limpeza de memória é difícil em processos web longos.

Como o ataque funciona

CVE-2026-109618: RCE por corrupção OOM

É alcançada pelo parsing de upload de formulários. Comprimentos ausentes, cabeçalhos infinitos ou campos vazios forçam o PHP a sair da execução normal e deixam a memória quebrada. No mod_php, o ataque funciona com limites padrão.

CVE-2026-109619: RCE por estado global obsoleto

Envolve memória do worker usada após ser liberada. O PHP confirmou execução via backtrace de erro fatal no mod_php e via progresso de upload de sessão no mod_php e PHP-FPM. Afeta PHP-FPM, mod_php (o mais perigoso), php-cgi, FrankenPHP e LiteSpeed.

Ataques foram confirmados contra WordPress, Drupal, Joomla, Laravel, Symfony e outros. A Wiz chamou as falhas de 'entre as mais graves já descobertas no PHP'.

O que está confirmado e o que não está

Confirmado

• Dois problemas críticos no núcleo do PHP.
• Nota 9,2 de 10 (CVSS v4.0).
• Patches em 21 de outubro de 2026, 14:00 UTC.
• RCE não autenticada validada no mod_php e, via sessão, no PHP-FPM.
• Exploração em campo: watchTowr viu ataques em honeypots.
• Só atualizar fecha todos os caminhos.

Relatado, não confirmado pelo PHP

• Que todas as aplicações listadas sejam vulneráveis: o PHP confirmou caminhos, não cada aplicação.
• A extensão dos ataques ativos; a CISA não as listava como exploradas.
• Exposição estimada: mais de 1,3 milhão de hosts.

O que fazer se você usa PHP

Especialistas dizem: 'a única mitigação é aplicar o patch / atualizar o PHP', segundo Gina Peter Banyard.

1. Encontre todo PHP executado. A versão CLI pode diferir da do servidor.
2. Atualize já. Instale PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
3. Não dependa de configurações. session.upload_progress.enabled=0 ou memory_limit=-1 bloqueiam só alguns caminhos.
4. Ganhe tempo. A Cloudflare ativou regras para todos; tirar o site do ar é o mais seguro.
5. Procure comprometimento. Arquivos PHP inesperados, novos admins e conexões incomuns.

Por que isso importa

PHP alimenta blogs, lojas, fóruns e a maioria dos WordPress. Como a correção revela o código vulnerável, exploits podem surgir rapidamente. A Sansec alertou que a exploração em massa de servidores web pode começar minutos após o lançamento. Muitos sites usam PHP 7 e 5 fora de suporte.

No dia do patch, sites governamentais europeus saíram do ar, e o CTO da Cloudflare disse ver 'ataques iniciais surgirem'. Há também preocupação com a segurança das autoridades certificadoras.

FAQ

O que é PHP2Shell?

Duas vulnerabilidades críticas do PHP, CVE-2026-109618 e CVE-2026-109619, que permitem RCE não autenticada em PHP 5.4 a 8.5.

Quais versões são afetadas?

Todas de 5.4 a 8.5. Corrigidas: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Há patches de código-fonte para 7.4, 8.0 e 8.1.

Como proteger meu servidor?

Atualize o PHP imediatamente. Nenhuma configuração bloqueia tudo; mitigações temporárias só cobrem as horas até o patch.

Já foi explorado em campo?

Sim. A Cloudflare relatou tentativas antes do patch, e a watchTowr viu exploração em honeypots em 21 de outubro de 2026.

Atualizar WordPress ou plugin corrige?

Não. A falha está no PHP, abaixo do código da aplicação. Atualize o PHP.