No dia 21 de outubro de 2026, o projeto PHP publicou atualizações de emergência para duas falhas críticas, apelidadas de PHP2Shell. Essa vulnerabilidade no PHP permite que um invasor execute código no servidor sem precisar de login. Como o PHP está por trás de grande parte dos sites da internet, incluindo os feitos em WordPress, vale entender o risco e agir ainda hoje.
O que foi descoberto
São duas falhas, cada uma com nota 9.2 de 10 na escala CVSS v4:
- CVE-2026-109618: corrupção de memória quando o PHP lida com falta de memória. Uma requisição de upload montada para isso pode esgotar a memória mesmo parecendo estar dentro dos limites configurados.
- CVE-2026-109619: o PHP pode reaproveitar, em uma nova requisição, dados de uma requisição anterior que já deveriam ter sido apagados da memória.
Nos dois casos, o resultado pode ser a execução remota de código com as permissões do servidor web. As falhas foram encontradas pelas equipes Wiz Research, Calif e Codex Security, da OpenAI.
Quem está exposto
Praticamente toda instalação de PHP que atende páginas web: PHP-FPM, Apache com mod_php (o cenário de maior risco), php-cgi, FrankenPHP e LiteSpeed. Isso inclui sites institucionais, lojas virtuais, portais e sistemas internos feitos em PHP.
Atenção: atualizar o WordPress ou os plugins não corrige esta falha. O que precisa ser atualizado é o próprio PHP do servidor, que normalmente fica a cargo da hospedagem, da equipe de infraestrutura ou da imagem de contêiner.
Situação atual
- Existem provas de conceito públicas, mas, segundo a Rapid7, nenhuma funciona de forma ampla por enquanto.
- A watchTowr e a Cloudflare relataram tentativas de exploração poucas horas após a divulgação.
- A CISA, agência de cibersegurança dos Estados Unidos, recomendou atualização imediata.
Sua empresa sabe quem cuida de cada sistema e de cada atualização?
A Hash Consultoria ajuda a transformar a resposta a alertas de segurança em um processo com responsáveis, prazos e registro, usando o BPM Fusion.
O que fazer agora
- Liste onde há PHP: site institucional, loja, intranet, sistemas internos e ambientes de teste.
- Pergunte à hospedagem ou à TI qual versão de PHP está em uso e se as correções de 21/10 já foram aplicadas.
- Atualize para uma versão corrigida: PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Em pacotes de distribuições Linux, confira o histórico pelo número das CVEs, porque a correção pode vir em outra numeração.
- Reinicie os serviços (Apache, PHP-FPM e processos de longa duração) depois da atualização.
- Versões antigas: o PHP 8.1 e anteriores não recebem mais atualizações de rotina. Houve correções pontuais para 7.4, 8.0 e 8.1, mas o caminho seguro é migrar.
Se não der para atualizar hoje
Estas medidas reduzem a exposição, mas não substituem a atualização, e devem ser aplicadas pela equipe técnica na configuração do servidor:
- desativar
session.upload_progress.enabledno php.ini ou no pool do PHP-FPM e reiniciar os processos; - limitar o tamanho das requisições e dos uploads (
post_max_size,upload_max_filesizee limites no proxy ou firewall); - bloquear envios multipart em sistemas que não usam upload;
- acompanhar os logs em busca de erros de memória, picos de erro 500 e reinícios inesperados.
Aproveite para revisar o WordPress
Se o seu site usa WordPress, confira também se ele está na versão 7.1.2 ou superior. Em setembro de 2026 foi corrigida outra falha crítica no núcleo do WordPress (CVE-2026-87902), que afeta das versões 4.7 à 7.1.1. A versão do WordPress e a do PHP aparecem em Ferramentas → Saúde do site, no painel administrativo.
A lição para a gestão
Falhas assim vão continuar aparecendo. O que diferencia as empresas é a velocidade de resposta: saber quais sistemas existem, quem é responsável por cada um, em quanto tempo o alerta precisa ser tratado e onde fica o registro do que foi feito. Isso é gestão de processos aplicada à TI, e é o tipo de rotina que pode ser organizada em um fluxo, com checklist, prazos e evidências.
Perguntas frequentes
Atualizei o WordPress. Estou protegido contra o PHP2Shell?
Não. O WordPress é a aplicação; a falha está no PHP, que roda no servidor. É preciso confirmar com a hospedagem ou a TI que o PHP foi atualizado.
Meu site é pequeno. Corro risco?
Sim. Ataques desse tipo costumam ser automatizados e varrem a internet em busca de qualquer servidor vulnerável, independentemente do tamanho da empresa.
Esconder as mensagens de erro do PHP resolve?
Não. Ocultar erros não impede a exploração, e a ausência de registros nos logs não prova que o servidor está seguro.
Quais versões corrigem a falha?
PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12, ou pacotes de distribuições que informem a correção das CVE-2026-109618 e CVE-2026-109619.
Conclusão
A PHP2Shell é grave, já tem tentativas de ataque e afeta uma enorme quantidade de sites. A correção existe: atualizar o PHP e reiniciar os serviços. Faça hoje a pergunta certa para a sua hospedagem ou equipe de TI e registre a resposta.
Fale com a Hash Consultoria
Organize a gestão de atualizações e incidentes da sua empresa em um fluxo com responsáveis, prazos e histórico.
Referências
- CVE-2026-109618 and CVE-2026-109619: Critical Unauthenticated Remote Code Execution in PHP — Rapid7, 21–22/10/2026. Consultado em 22/10/2026.
- PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws — The Hacker News, 10/2026. Consultado em 22/10/2026.
- Critical Vulnerabilities in PHP Require Immediate Patching — CISA, 21/10/2026. Consultado em 22/10/2026.
- PHP2Shell: Frequently Asked Questions — Tenable. Consultado em 22/10/2026.
- CVE-2026-87902: falha crítica no core do WordPress — SOC Prime, 09/2026. Consultado em 22/10/2026.
Palavras-chave
#PHP #SegurancaDaInformacao #CiberSeguranca #WordPress #GestaoDeTI
