PHP2Shell é o nome dado a duas falhas do PHP corrigidas em 21 de outubro de 2026, a CVE-2026-109618 e a CVE-2026-109619. O nome junta "PHP" e "shell", que é o terminal onde se digitam comandos num servidor. A ideia é essa: a falha leva o invasor do PHP até o terminal do servidor.
O que fazer para proteger o seu site está no post Falha no PHP: o que aconteceu. Aqui está como o ataque funciona.
Como o PHP atende um visitante
Cada vez que alguém abre uma página, o servidor entrega o pedido a um processo do PHP. Esse processo separa um pedaço da memória, monta a página e depois limpa o que usou. Para ganhar velocidade, o mesmo processo é reaproveitado no pedido seguinte.
As duas falhas moram nesse ciclo de separar, usar e limpar a memória.
Falha 1: a limpeza que confia em dado pela metade
A CVE-2026-109618 acontece quando a memória acaba no meio de um pedido. O PHP para de preparar os dados do pedido, mas a limpeza depois trata esses dados como se estivessem completos.
Um invasor que força essa situação consegue colocar na memória um conteúdo escolhido por ele, e o PHP acaba executando esse conteúdo.
Falha 2: a sobra de um pedido que vaza para o seguinte
A CVE-2026-109619 acontece entre um pedido e outro. Um pedido deixa para trás um apontador para um pedaço de memória que já foi liberado. O pedido seguinte, no mesmo processo, usa esse apontador sem saber que a memória já pode ter outro conteúdo.
Isso dá ao invasor dois caminhos: ler dados que estavam na memória e, de novo, fazer o PHP executar o que ele quer.
Por que não precisa de senha
O ataque acontece na hora em que o PHP recebe e prepara o pedido. Isso vem antes do login do WordPress e antes de qualquer plugin de segurança rodar. No Apache com mod_php o risco é ainda maior, porque o ataque acontece antes de qualquer código do site rodar.
Por isso um site com senha forte, plugin de segurança e tudo atualizado continua exposto. A porta está no andar de baixo.
Por que tanta gente está exposta
O código com problema existe desde o PHP 5.4, lançado em 2012. Ele aparece em todos os jeitos de rodar o PHP na web: PHP-FPM, mod_php, php-cgi, FrankenPHP e LiteSpeed. O PHP roda em 69,3% dos sites cuja linguagem de servidor é conhecida, segundo a W3Techs.
Quem achou a falha
A PHP Foundation creditou a descoberta à Calif, à OpenAI e à Wiz, entre outros. A Calif e a Wiz disseram que usaram modelos de inteligência artificial na pesquisa. É um sinal do que vem por aí: falhas antigas, escondidas há mais de uma década, sendo achadas mais rápido.
Do vazamento ao ataque
| Data | O que aconteceu |
|---|---|
| 17/10 | A Amazon registra a primeira tentativa de ataque, quatro dias antes do aviso oficial. |
| 20/10 | Os registros das falhas vazam. O PHP antecipa a correção, marcada para 22/10. |
| 21/10 | Sai a correção. A Amazon vê ataques vindos de grupos diferentes e diz que a falha passou a ser explorada em larga escala. |
Os detalhes técnicos, com versões afetadas, configurações e formas de detecção, estão na ficha técnica do CVE-2026-109618.
O que fazer
A única correção completa é atualizar o PHP do servidor. O passo a passo para conferir o seu site está em PHP vulnerabilidade: como saber se o seu site está exposto. Para fazer a troca no WordPress sem derrubar o site, veja como atualizar o PHP do WordPress.
Os clientes do plano mensal da Boldman foram corrigidos em 21 de outubro sem fazer nada. Se o seu site ainda não foi, a gente faz a correção ou um teste de segurança. Fale com a gente no WhatsApp: (51) 2165-9690.
