Falha crítica no PHP: bloqueios globais e correções

Uma falha crítica no PHP descoberta no final de outubro de 2026 forçou governos e empresas na Europa, Ásia e América do Norte a retirarem sites do ar enquanto aplicavam correções de emergência. As duas vulnerabilidades, conhecidas coletivamente como PHP2Shell, afetam a linguagem de código aberto que sustenta cerca de 70% de todos os sites, segundo a PHP Foundation.

O que é a vulnerabilidade PHP2Shell?

A PHP Foundation divulgou duas falhas de execução remota de código — CVE-2026-109618 e CVE-2026-109619 — em 21 de outubro de 2026. Ambas têm pontuação CVSS 9,2 e permitem que atacantes não autenticados executem código arbitrário em servidores vulneráveis. Os bugs existem desde o PHP 5.4 e foram descobertos com ajuda de modelos de IA, o que os torna as vulnerabilidades PHP mais significativas já encontradas por IA, segundo a fundação.

Correções de emergência e resposta global

Autoridades como a NSA, o FBI, o NCSC britânico e agências em Singapura, Austrália, Canadá e na UE pediram aos administradores que aplicassem as correções imediatamente ou tirassem os sistemas do ar. O Reino Unido emitiu dezenas de milhares de alertas. Vários portais governamentais — Overheid.nl, DigiD, o Porto de Roterdã, a Valtori da Finlândia e a prefeitura de polícia de Paris — ficaram offline por precaução. A Wikimedia Foundation também suspendeu serviços brevemente.

Quais sistemas são afetados?

As versões do PHP 5.4 até 8.5.11 são afetadas. As correções foram lançadas no mesmo dia nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O Apache com mod_php é a configuração mais exposta, embora PHP-FPM, php-cgi, FrankenPHP e LiteSpeed também possam ser vulneráveis. As organizações devem inventariar instalações PHP, priorizar sistemas expostos à internet, aplicar atualizações, verificar contêineres e revisar registros em busca de sinais de exploração.

Como os atacantes exploraram a falha antes da divulgação

A equipe de inteligência de ameaças MadPot, da Amazon, detectou tentativas de exploração quatro dias antes do alerta público. A Cloudflare relatou milhões de tentativas em poucas horas após a divulgação. Dane Knecht, da Cloudflare, alertou que regras de firewall são apenas uma solução temporária e que a aplicação das correções continua essencial.

Impacto e implicações

As retiradas coordenadas evidenciam a fragilidade do software que sustenta a internet. Com o PHP alimentando quase 70% dos sites, um único conjunto de falhas pode interromper serviços públicos, comércio eletrônico e mídia. Ambientes de hospedagem compartilhada com atualizações lentas e versões de PHP em fim de vida continuam em risco. Nenhum comprometimento bem-sucedido verificado publicamente havia sido confirmado até sexta-feira, 23 de outubro de 2026.

FAQ: Correções de emergência do PHP2Shell

O que é o PHP2Shell?

É o apelido de duas vulnerabilidades críticas do PHP, CVE-2026-109618 e CVE-2026-109619, que permitem execução remota de código sem autenticação.

Quais versões do PHP são vulneráveis?

Todas as versões de 5.4 a 8.5.11. As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

Por que os sites foram retirados do ar?

Muitas organizações desligaram serviços afetados por precaução, seguindo orientações da NSA, FBI, NCSC e outras agências.

A falha foi explorada ativamente?

A Amazon detectou tentativas em honeypots antes da divulgação e a Cloudflare viu milhões de tentativas depois, mas nenhum comprometimento verificado foi confirmado até 23 de outubro de 2026.

Como proteger meu servidor PHP?

Atualize imediatamente para uma versão corrigida, inventarie instalações, priorize sistemas expostos e revise registros.

Conclusão

O incidente PHP2Shell lembra que a infraestrutura da web é muitas vezes mantida por um pequeno grupo de voluntários e fundações. A resiliência a longo prazo exigirá melhor financiamento, adoção mais rápida de atualizações e uso mais profundo de descoberta de vulnerabilidades com IA.