Alerta de segurança · PHP2Shell
PHP2Shell: o que fazer nas próximas 72 horas
Duas falhas críticas no núcleo do PHP (CVE-2026-109618 e CVE-2026-109619, CVSS 9,2) permitem execução remota de código e leitura de memória do servidor. Atualizar é o primeiro passo, não o último.
Pedir orçamento Ver como funcionaPrazo típico: 72 h após o acesso
O que aconteceu
A 21/10/2026 o projeto PHP corrigiu duas falhas descobertas pela Wiz Research, Calif e OpenAI. Uma corrompe o estado do pedido quando falta memória; a outra reutiliza estado já libertado e permite ler memória do processo — palavras-passe, tokens e chaves de API de outros pedidos — além de executar código.
- Afetado: qualquer instalação PHP que sirva web: PHP-FPM, Apache com mod_php (maior risco), php-cgi, FrankenPHP e LiteSpeed.
- Corrigido: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Os ramos 8.1 e anteriores não têm suporte oficial; houve backports mínimos e várias distribuições publicaram pacotes corrigidos.
- Exploração: foram observadas tentativas de ataque antes e logo depois da divulgação. A Wiz demonstrou execução sem autenticação contra WordPress, Drupal e Joomla.
Fontes: Help Net Security, BleepingComputer, Wiz.
Faça já
- Inventário: execute
php -vem cada servidor (não confie no cabeçalho web). - Atualize para a versão corrigida do seu ramo ou para o pacote corrigido da distribuição (confirme o changelog).
- Mitigação parcial enquanto não atualiza:
session.upload_progress.enabled=0,memory_limit=-1viaphp_admin_valuecom limite de memória no contentor,post_max_sizebaixo e regras de WAF. Nenhuma bloqueia tudo. - Rode segredos depois do patch: palavras-passe de base de dados, chaves de API e de cloud, salts do WordPress, segredos de sessão e tokens OAuth. Invalide sessões ativas.
- Procure sinais desde 17/10: picos de erros 500 e falta de memória, uploads multipart estranhos, web shells, novos administradores.
Verificação gratuita e passiva
O Raio-X de Segurança Externa mostra agora sinais de exposição ao PHP2Shell no seu domínio: PHP e CMS detetados, versão declarada e servidor. É passivo — não envia ataques — e não substitui confirmar a versão no servidor.
Resposta PHP2Shell em 72 horas
Âmbito fechado, proposta com preço fixo em 24 h, entrega em 72 h depois de o acesso ser concedido:
- Inventário de versão e SAPI de cada servidor e contentor PHP.
- Revisão de logs à procura de exploração desde 17/10.
- Plano priorizado de rotação de segredos.
- Relatório executivo e plano de correção por servidor.
- Reteste após a correção.
Atualizámos o nosso próprio stack para PHP 8.4.27 e aplicámos as mitigações logo após a divulgação.
Perguntas frequentes
Atualizar o PHP resolve tudo?
Fecha a falha, mas não desfaz o que pode ter sido exposto. Como a CVE-2026-109619 permite ler memória do processo, rode segredos e invalide sessões após o patch.
O meu site está atrás da Cloudflare. Estou protegido?
Parcialmente. A Cloudflare publicou regras de WAF para os vetores conhecidos, mas são temporárias. Atualize o PHP na mesma.
Uso PHP 7.4 ou 8.1. E agora?
Esses ramos não têm suporte oficial. Verifique se a sua distribuição publicou um pacote corrigido; caso contrário, planeie a migração para 8.2+ e aplique as mitigações até lá.
O Raio-X confirma se estou vulnerável?
Não. Mostra sinais externos (PHP, CMS, versão declarada). As distribuições corrigem sem alterar o número da versão, por isso a confirmação faz-se no servidor.
Leia também
Outros serviços
Pedir orçamento
Receba uma proposta em 24h.
Diga-nos o que precisa de testar. Um especialista — não um comercial — responde com âmbito, prazo e preço.
- NDA disponível antes de qualquer detalhe
- Atendimento em PT, ES e EN
- Faturação na UE, no Brasil ou nos EUA