PHP-ocalypse: duas falhas críticas no PHP permitem execução remota de código sem autenticação

As falhas CVE-2026-109618 e CVE-2026-109619, apelidadas de PHP2Shell, permitem execução remota de código sem autenticação. Não há senha nem clique da vítima envolvidos, o que dá a quem explora controle praticamente total de um servidor sem patch. Os dois bugs foram encontrados em 2024, mas não eram considerados exploráveis e ficaram sem correção. Pesquisadores da Calif acharam uma forma de explorá-los e avisaram a PHP Foundation, que montou um embargo coordenado para dar vantagem a grandes empresas e provedores de hospedagem. As correções públicas saíram em 21 de outubro.

A Amazon detectou exploração cerca de uma semana antes dos patches, e orientou defensores a procurar indícios desde 17 de outubro. A origem do vazamento não está clara. A fonte levanta hipóteses (falha no embargo, descoberta independente ou espionagem) e cita que a PHP Foundation culpou uma empresa por publicar o patch horas antes do prazo, o que não explicaria a atividade de uma semana. A Cloudflare relatou salto nas tentativas de exploração após a divulgação, e a Trail of Bits confirmou exploits funcionais ao fim da última sexta-feira. A matéria registra que a referência à Palo Alto Networks foi removida depois que a empresa retratou uma conclusão sobre atividade pós-exploração.

Em 21 de outubro de 2026, o CEVIU noticiou em "PHP Alerta para Duas Falhas Críticas de Segurança: Patches de Emergência a Caminho" o aviso prévio às equipes de sistemas. Em 22 de outubro de 2026, "PHP lança correções emergenciais para dois zero-days explorados e sites podem sofrer quedas" já tratava as falhas como exploradas. Em 23 de outubro de 2026, "Falhas críticas de RCE no PHP exigem atualização imediata" apontava prova de conceito disponível. Agora o quadro avança: há exploits funcionais confirmados pela Trail of Bits, aumento de tentativas medido pela Cloudflare e a discussão sobre como a exploração começou antes do embargo acabar.

Para quem opera ambientes com PHP, o risco não termina no servidor web. A fonte lembra que o PHP aparece em ferramentas de desenvolvimento, linha de comando e componentes de roteadores, storages, firewalls e VPNs. Isso sugere inventariar também produtos de terceiros que embarcam PHP e esperar atualizações dos fornecedores. Times pequenos e sistemas legados sem como atualizar tendem a ser o alvo mais provável nas próximas semanas. Vale ainda caçar sinais de comprometimento retroativos a 17 de outubro, e não só aplicar o patch.