A comunidade global de segurança da informação e desenvolvimento web está em alerta máximo nesta quarta-feira, 21 de outubro de 2026. Pesquisadores revelaram o PHP2Shell, uma família de vulnerabilidades críticas que atinge o núcleo do PHP, linguagem de programação que sustenta grande parte da internet, incluindo gigantes como WordPress, Magento e soluções corporativas.
Classificadas com uma pontuação CVSS v4.0 de 9.2 (Crítica), as falhas CVE-2026-109618 e CVE-2026-109619 permitem que invasores executem códigos maliciosos remotamente (RCE) em servidores vulneráveis, sem a necessidade de qualquer autenticação prévia.
O que é o PHP2Shell?
Diferente de vulnerabilidades comuns que residem em plugins mal codificados ou frameworks desatualizados, o PHP2Shell afeta o próprio runtime (ambiente de execução) do PHP. A descoberta monumental foi feita a partir do esforço conjunto de pesquisadores de segurança de empresas como Wiz, OpenAI, Quarkslab e Calif.io.
O problema engloba duas falhas principais relacionadas à forma como o PHP lida com o encerramento anormal de requisições:
- CVE-2026-109618 (Corrupção por Falta de Memória / Out-of-memory corruption): Uma corrupção de memória que ocorre quando uma requisição esgota o limite de memória do PHP. O encerramento forçado e inesperado deixa a memória do servidor em um estado quebrado, permitindo que a rotina de limpeza (cleanup) leia esse estado frágil e seja explorada.
- CVE-2026-109619 (Estado Global Obsoleto / Stale global state): Uma falha que, combinada à manipulação do estado da memória, possibilita a execução remota de código via corrupção do tipo heap use-after-free.
Como a Falha Funciona na Prática?
Ataques cibernéticos modernos muitas vezes exploram o fluxo previsível das aplicações, mas o PHP2Shell se aproveita do momento de exaustão de memória. Um invasor pode enviar solicitações HTTP cuidadosamente manipuladas que forçam o PHP a esgotar sua memória em momentos específicos.
Quando o processamento do código é interrompido para evitar o travamento, o estado interno do servidor não é devidamente higienizado. Isso significa que ponteiros não inicializados e blocos de cache residuais podem ser acessados no processamento de requisições seguintes, abrindo uma porta gigantesca para Execução Remota de Código (RCE) e vazamento de memória, com os mesmos privilégios do web worker.
Versões Afetadas e Atualizações Disponíveis
A vulnerabilidade PHP2Shell afeta um longo histórico de versões do PHP, indo da versão 5.4.0 até a 8.5. A equipe oficial de segurança do PHP emitiu hoje pacotes de atualização em caráter de emergência. As versões seguras lançadas e altamente recomendadas para atualização imediata são:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Atenção: Ramificações de código antigas (End-of-life), como o PHP 7.x, não deverão receber correções oficiais, o que exige estratégias de mitigação urgentes no nível da infraestrutura.
Passos para Proteger seu Servidor e Aplicação
Nós da Auzac Cybersecurity recomendamos que as empresas adotem medidas defensivas proativas contra essa brecha gravíssima. Siga este plano de ação imediato:
- Atualize Imediatamente (Patching): Aplique as correções de segurança lançadas hoje para as ramificações suportadas do PHP (8.2 a 8.5).
- Reforce as Proteções de Borda (WAF): Web Application Firewalls já estão sendo atualizados mundialmente. Soluções de proteção baseadas em inspeção completa de transação (Request + Response) podem atuar como uma primeira linha de defesa interceptando a exploração bem-sucedida antes que ela alcance os usuários.
- Monitoramento de Comportamento Anômalo (EDR/XDR): Fique atento ao consumo de memória em servidores Linux ou à anomalia do PHP gerando subprocessos (child processes) inesperados no sistema operacional. Esses são os primeiros indícios de um ataque RCE.
- Isole Sistemas Legados (Isolamento de Risco): Caso possua instâncias em End-of-life sem possibilidade técnica de patch imediato, garanta que estejam restritas em contêineres sem acesso direto à internet ou operando sob controles de acesso extremamente rígidos.
Conte com a Expertise da Auzac Cybersecurity
Vulnerabilidades arquiteturais de alto impacto como o PHP2Shell reforçam a premissa de que a segurança não pode ser passiva. Um servidor na web, desatualizado e não monitorado, é o ambiente perfeito para que essas falhas sejam exploradas de modo silencioso e implacável.
Sua infraestrutura de TI precisa estar blindada. A equipe da Auzac Cybersecurity está à disposição para ajudar a sua empresa na descoberta de ativos vulneráveis, aplicação rápida de *patches* virtuais e no monitoramento de ameaças em tempo real. Não espere a invasão acontecer. Proteja seu negócio com especialistas em segurança da informação.
