Alerta de segurança · PHP2Shell
PHP2Shell: o que fazer nas próximas 72 horas
Duas falhas críticas no núcleo do PHP (CVE-2026-109618 e CVE-2026-109619, CVSS 9,2) permitem execução remota de código e leitura de memória do servidor. Atualizar é o primeiro passo, não o último.
Solicitar proposta Ver como funcionaPrazo típico: 72 h após o acesso
O que aconteceu
Em 21/10/2026 o projeto PHP corrigiu duas falhas descobertas pela Wiz Research, Calif e OpenAI. Uma corrompe o estado da requisição durante falta de memória; a outra reaproveita estado já liberado e permite ler memória do processo — senhas, tokens e chaves de API de outras requisições — além de executar código.
- Afetado: toda instalação PHP que atende web: PHP-FPM, Apache com mod_php (maior risco), php-cgi, FrankenPHP e LiteSpeed.
- Corrigido: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Ramos 8.1 e anteriores não têm suporte oficial; houve backports mínimos e várias distribuições publicaram pacotes corrigidos.
- Exploração: tentativas de ataque foram vistas antes e logo depois da divulgação. A Wiz demonstrou execução sem autenticação contra WordPress, Drupal e Joomla.
Fontes: Help Net Security, BleepingComputer, Wiz.
Faça agora
- Inventário: rode
php -vem cada servidor (não confie no cabeçalho da web). - Atualize para a versão corrigida do seu ramo ou para o pacote corrigido da distribuição (confira o changelog).
- Mitigação parcial enquanto não atualiza:
session.upload_progress.enabled=0,memory_limit=-1viaphp_admin_valuecom limite de memória no container,post_max_sizebaixo e regras de WAF. Nenhuma delas bloqueia tudo. - Rotacione segredos depois do patch: senhas de banco, chaves de API e de cloud, salts do WordPress, segredos de sessão e tokens OAuth. Invalide sessões ativas.
- Procure sinais desde 17/10: picos de erro 500 e falta de memória, uploads multipart estranhos, web shells, novos administradores.
Verificação gratuita e passiva
O Raio-X de Segurança Externa agora mostra sinais de exposição ao PHP2Shell no seu domínio: PHP e CMS detectados, versão declarada e servidor. É passivo — não envia nenhum ataque — e não substitui conferir a versão dentro do servidor.
Resposta PHP2Shell em 72 horas
Escopo fechado, proposta com preço fixo em até 24 h, entrega em até 72 h depois que o acesso é liberado:
- Inventário de versão e SAPI de cada servidor e container PHP.
- Revisão de logs em busca de exploração desde 17/10.
- Plano priorizado de rotação de segredos.
- Relatório executivo e plano de correção por servidor.
- Reteste depois da correção.
Atualizamos o nosso próprio stack para PHP 8.4.27 e aplicamos as mitigações logo após a divulgação.
Perguntas frequentes
Atualizar o PHP resolve tudo?
Fecha a falha, mas não desfaz o que pode ter vazado. Como a CVE-2026-109619 permite ler memória do processo, rotacione segredos e invalide sessões depois do patch.
Meu site está atrás da Cloudflare. Estou protegido?
Parcialmente. A Cloudflare publicou regras de WAF para os vetores conhecidos, mas elas são temporárias. Atualize o PHP de qualquer forma.
Uso PHP 7.4 ou 8.1. E agora?
Esses ramos não têm suporte oficial. Verifique se a sua distribuição publicou pacote corrigido; se não, planeje a migração para 8.2+ e aplique as mitigações até lá.
O Raio-X confirma se estou vulnerável?
Não. Ele mostra sinais externos (PHP, CMS, versão declarada). Distribuições corrigem sem mudar o número da versão, por isso a confirmação é feita no servidor.
Leia também
Outros serviços
Solicitar proposta
Receba uma proposta em 24h.
Conte o que precisa testar. Um especialista — não um vendedor — responde com escopo, prazo e preço.
- NDA disponível antes de qualquer detalhe
- Atendimento em PT, ES e EN
- Faturamento no Brasil, UE ou EUA