PHP sob ataque iminente: a vulnerabilidade 'php2shell' que ameaça dois terços da web

Na manhã de 21 de outubro de 2026, administradores de servidores pela internet afora recebiam um alerta incomum: a equipe de segurança do PHP havia anunciado, a 20 de outubro, que liberaria uma atualização de emergência no dia seguinte, às 14h UTC (10h da manhã no Leste dos EUA, 16h em Brasília), para corrigir duas falhas críticas de execução remota de código (RCE) no núcleo do interpretador. O nome que os pesquisadores deram à cadeia de exploração — php2shell — resume, sem exagero, o que está em jogo: se explorada com sucesso, a vulnerabilidade permite que um atacante sem autenticação assuma o controle total do servidor que hospeda a aplicação.

O que se sabe — e o que ainda está em aberto

As duas falhas foram identificadas como CVE-2026-109618 e CVE-2026-109619. Ambas recebem pontuação CVSS v4.0 de 9.2 — a classificação oficial de "crítico" — conforme confirmou a própria equipe de segurança do PHP em seu anúncio no php.net. Relatórios não oficiais, contudo, citam um score de 10.0, o que, se confirmado, colocaria a vulnerabilidade no nível máximo de gravidade.

A pesquisa da Tenable identificou que a equipe de segurança do PHP emitiu um aviso antecipado incomum, deixando claro que poderia liberar os patches ainda mais cedo caso detalhes técnicos vazassem ou caso a exploração ativa fosse observada na natureza. Até o momento, nenhuma exploração confirmada foi reportada, mas a empresa Cloudflare, cuja CTO Dane Knecht monitorou o caso nas redes sociais, indicou que já observava sinais de ataques emergentes.

Segundo Benjamin Harris, CEO da empresa de segurança israelense watchTowr, que confirmou a existência das vulnerabilidades, elas afetam os ramos PHP 5, 6, 7 e 8. A watchTowr afirmou ter reproduzido a CVE-2026-109618 em ambiente controlado, mas optou por reter os detalhes técnicos até a liberação dos patches.

As versões corrigidas esperadas são:

| Versão afetada | Versão corrigida esperada | |---|---| | PHP 8.5.x | 8.5.12 | | PHP 8.4.x | 8.4.27 | | PHP 8.3.x | 8.3.36 | | PHP 8.2.x | 8.2.35 | | PHP 5.x a 8.1.x | Sem correção esperada (EOL) |

A restrição de correção apenas aos ramos suportados (8.2+) é a parte mais preocupante. De acordo com dados do W3Techs, o PHP é utilizado por 69,3% dos sites cujo lado do servidor é conhecido. Plataformas como WordPress, Drupal, Joomla, Laravel e Magento dependem do PHP. O pesquisador Silas Cutler estima que mais de 1,3 milhões de hosts expostos à internet estão potencialmente vulneráveis.

Por que o vazamento antecipado é um problema

O que distingue esta situação de uma atualização de segurança rotineira é o vazamento das informações de CVE antes da divulgação coordenada. Segundo a watchTowr, a divulgação estava originalmente programada para 22 de outubro, sob embargo. No entanto, os identificadores CVE e os detalhes da vulnerabilidade circularam pelo fórum Hacker News e por redes sociais já no dia 20, forçando a equipe do PHP a adiantar a liberação.

Esse padrão de "vazamento antes da correção" é cada vez mais comum em vulnerabilidades críticas. Assim que os identificadores de CVE estão disponíveis, a comunidade de pesquisadores de segurança — e, infelizmente, também os agentes maliciosos — pode começar a trabalhar em exploits. O PHP já havia enfrentado situações semelhantes, como a famosa vulnerabilidade Log4Shell (embora esta fosse do Java) e o CVE-2024-4577, que permitia fuga de memória em variáveis de ambiente.

A vulnerabilidade Session Upload Progress

Um dos detalhes mais relevantes até o momento é a menção do pesquisador Kirill Firsov, ligado à descoberta das falhas, que batizou a cadeia de exploração de "php2shell". A recomendação temporária, compartilhada tanto por Firsov quanto pela empresa japonesa GMO Flatt Security, é desativar a função Session Upload Progress do PHP, que tem sido apontada como a porta de entrada para a exploração.

A diretiva `session.upload_progress.enabled` no arquivo `php.ini` pode ser definida como `Off` para mitigar temporariamente a vulnerabilidade. No entanto, isso desabilita as barras de progresso de upload baseadas nessa funcionalidade — um trade-off que administradores de servidores precisam equilibrar entre segurança e experiência do usuário.

A Mozilla já havia estudado o problema do Session Upload Progress em contextos anteriores de segurança, quando descobriu que a funcionalidade podia ser manipulada para criar condições de corrida que permitiam acesso a recursos sensíveis. A experiência acumulada da comunidade de segurança sugere que essa característica do PHP tem um histórico problemático.

O que esperar nas próximas horas

A janela de exposição é estreita. A equipe do PHP já alertou que pode publicar os patches mais cedo se a exploração for observada na natureza. Administradores de sistemas são instados a realizar um inventário imediato de todos os servidores executando PHP e a preparar o processo de atualização.

A situação mais delicada diz respeito aos hosts que rodam versões EOL (fim de vida) do PHP — especialmente PHP 5 e PHP 7, que não receberão correções oficiais. Cerca de 700.000 hosts expostos à internet rodam essas versões desatualizadas, segundo a Phoenix Security. Para esses servidores, a única opção é migração ou isolamento até que a versão seja atualizada.

A pergunta que fica não é se os exploits aparecerão — é quando. O que se espera nas próximas horas é que a equipe do PHP libere os patches, que imediatamente serão alvo de engenharia reversa por pesquisadores e, potencialmente, por atores maliciosos. A comunidade de segurança global está em estado de alerta.

Fontes: Phoenix Security, Tenable, IT-Connect

✓ Fontes independentes cruzadas e verificadas antes da publicação