PHP2Shell: fornecedores e agências reagem a falhas de execução remota de código no PHP

O nome PHP2Shell designa duas falhas críticas no PHP, a CVE-2026-109618 e a CVE-2026-109619, que podem permitir a um atacante sem autenticação executar código remotamente. Wiz, OpenAI e Calif as identificaram em agosto. O PHP corrigiu em 21 de outubro de 2026, nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, um dia antes da divulgação planejada, depois que os identificadores CVE começaram a circular em 20 de outubro. Vale separar as coisas: PHP2Shell é o nome do conjunto de vulnerabilidades, não de uma ferramenta de ataque. O repositório do NCSC-NL com esse nome reúne informação operacional sobre as falhas e não é a fonte da reportagem, que é do SecurityWeek.

O risco prático está no fato de o PHP vir embutido em muito software, appliance e serviço de nuvem, às vezes sem que ninguém perceba. A CrowdStrike confirmou em teste que uma única requisição POST sem autenticação basta para um worker do Apache mod_php iniciar um shell e rodar um comando do atacante, sem exigir código vulnerável na aplicação. A Red Hat avalia de forma menos severa que o NVD: nota 8,1 contra 9,8, argumentando que a exploração confiável exige manipulação precisa de heap e timing, e em geral comportamento fora do padrão. Já a Cisco Talos estima que cerca de metade dos sistemas PHP não receberá correção e pede migração de quem está no PHP 8.1 ou anterior para a 8.2 ou mais nova. cPanel e Plesk lançaram builds corrigidos até para os ramos já encerrados 7.4, 8.0 e 8.1.

Sobre mitigação, a Qualys desativa o recurso de upload-progress de sessão do PHP nos hosts afetados. A Corelight liberou detecções Zeek e Suricata em código aberto, e a CrowdStrike adicionou conteúdo de detecção ao Falcon Next-Gen SIEM. A JFrog alertou para PoCs falsos que surgiram na época da divulgação. A WatchTowr observou exploração em massa logo após as correções, embora os PoCs em circulação não tenham obtido execução de código. A CISA, o NCSC do Reino Unido e o CERT-EU pedem atualização imediata, começando pelos sistemas expostos, e o NCSC britânico recomenda também caçar backdoors plantados antes dos patches.

Em 21 de outubro de 2026, o CEVIU noticiou "PHP Alerta para Duas Falhas Críticas de Segurança: Patches de Emergência a Caminho", quando as correções ainda eram promessa. Em 22 de outubro de 2026, vieram "PHP lança atualização de segurança que corrige duas vulnerabilidades críticas" e "PHP2Shell foi explorado 4 dias antes da divulgação, aponta Amazon", com a primeira tentativa de exploração registrada em 17 de outubro. Em 23 de outubro de 2026, o foco foi a necessidade de atualização imediata. O que muda agora é o ecossistema: fornecedores e agências já publicaram avaliações, patches, detecções e orientações, e alguns sites europeus foram tirados do ar.

Para quem opera segurança, a leitura é que o trabalho vai além de atualizar o PHP dos servidores que você conhece. Inventariar onde o PHP roda embutido (appliances, painéis, serviços de terceiros) e acompanhar os avisos dos fornecedores pesa tanto quanto o patch. Como houve tentativas de exploração antes da divulgação, faz sentido procurar sinais de comprometimento prévio, não só fechar a brecha. E a divergência de severidade entre Red Hat e NVD sugere priorizar por exposição real, sem baixar a guarda.

Repositório oficial: NCSC-NL/php2shell