Atualizado em 23/10/2026, às 17h
O CVE-2026-109618 e o CVE-2026-109619 são as duas falhas do PHP conhecidas como PHP2Shell, corrigidas em 21 de outubro de 2026. As duas permitem execução remota de código sem autenticação. Para o contexto e o que fazer no seu site, leia Falha no PHP: o que aconteceu.
As duas falhas
| CVE-2026-109618 | CVE-2026-109619 | |
|---|---|---|
| Tipo | corrupção na falta de memória | estado global que sobra entre pedidos (use-after-free) |
| Causa | Quando a memória acaba com os dados do pedido preparados pela metade, a limpeza trata esses dados como válidos. | Um pedido deixa um apontador para memória já liberada, e o pedido seguinte no mesmo processo o usa. |
| Impacto | execução remota de código | execução remota de código e vazamento de memória |
| Nota CVSS 4.0 | 9.2 | 9.2 |
| Aviso | GHSA-w8hw-w9fx-j79w | GHSA-6wmf-4rv5-p3rp |
| Autenticação | não exige | não exige |
Os identificadores que circularam antes do aviso traziam nota 10.0. A PHP Foundation disse que esse número estava errado.
Versões afetadas e corrigidas
| Ramo | Afetado | Corrigido em |
|---|---|---|
| 8.5 | abaixo da 8.5.12 | 8.5.12 |
| 8.4 | abaixo da 8.4.27 | 8.4.27 |
| 8.3 | abaixo da 8.3.36 | 8.3.36 |
| 8.2 | abaixo da 8.2.35 | 8.2.35 |
| 7.4 a 8.1 | afetado | sem versão oficial; a equipe de segurança do PHP publicou remendos mínimos no código-fonte |
| 5.4 a 7.3 | afetado | sem correção, por estar fora de suporte |
As distribuições Linux receberam a correção antes do aviso. Nelas, o número da versão pode continuar igual depois do pacote corrigido. Confira o aviso de segurança da sua distribuição.
No CloudLinux, o pacote corrigido do alt-php 8.3 é o 8.3.35-6 e continua mostrando 8.3.35. A conferência é pelo changelog do pacote, procurando os dois CVEs.
Configurações expostas
Toda instalação que atende pedidos web está exposta: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O PHP classifica o mod_php como o caso mais grave, porque o pedido malicioso dispara a falha antes de o código da aplicação rodar. A Calif mostrou execução de código sem autenticação contra versões específicas do WordPress, do Drupal, do Joomla e do Magento.
Mitigação enquanto a correção não vem
O PHP diz que atualizar é a única correção completa. No WordPress, o passo a passo da troca está em como atualizar o PHP do WordPress. As medidas abaixo reduzem a exposição, mas não deixam a instalação segura.
| Para | Medida |
|---|---|
| CVE-2026-109618 | Definir memory_limit=-1 de um jeito que a aplicação não consiga sobrescrever. |
| CVE-2026-109619 | Definir session.upload_progress.enabled=0. No PHP 8.5, também fatal_error_backtraces=0. O WordPress não usa o upload progress. |
| Depois de qualquer mudança | Reiniciar todos os processos do PHP. |
| Rede | Limite de memória por contêiner ajuda, mas não basta. O CERT-EU recomenda isolar a aplicação exposta até a correção ser aplicada e verificada. |
| WAF | A Cloudflare publicou regras para os vetores conhecidos em todos os planos, inclusive o grátis. Elas só valem para o tráfego que passa pela Cloudflare. Em 22/10 a Cloudflare já via ataques com o código alterado para escapar dessas regras. |
Linha do tempo
| Data | Evento |
|---|---|
| 17/10/2026 | A Amazon registra tentativa de ataque na rede de honeypots MadPot. |
| 20/10/2026 | Os CVEs vazam em rede social e no Hacker News. O PHP publica aviso antecipado, e o CERT-EU publica o alerta 2026-018. |
| 21/10/2026 | Sai a correção, antecipada de 22/10 por causa do vazamento. A Cloudflare liga regras de WAF. |
| 22/10/2026 | A Amazon descreve tentativas espalhadas pela internet. A Cloudflare vê ataques alterados para escapar das regras de WAF. |
Exploração
A Amazon relata tentativas com cargas e infraestruturas variadas, o que indica vários grupos atacando. A watchTowr disse que reproduziu as duas falhas. Circulam códigos que dizem explorar a falha, mas a equipe do PHP não achou nenhum funcional na data da correção. Código não verificado pode conter malware.
Até 22/10 a CISA não tinha posto os dois CVEs no catálogo KEV, e o BSI alemão não tinha confirmado exploração. O NCSC da Nova Zelândia diz estar ciente de relatos de exploração ativa. A CISA recomenda tirar do ar os sistemas com PHP que não possam ser atualizados logo, e todos os que rodam PHP 8.1 ou anterior. O CTIR Gov publicou a Recomendação Técnica 19/2026 com orientação parecida.
O PHP já tem histórico de falha explorada em massa. O catálogo KEV da CISA lista a CVE-2024-4577 (PHP-CGI) e a CVE-2019-11043 (PHP-FPM), as duas usadas em ataques de ransomware.
Detecção
| Ferramenta | Como |
|---|---|
| Painel do WordPress | Ferramentas, Saúde do Site, Informação, seção Servidor. |
| Linha de comando | php -v e, em distribuição Linux, o changelog do pacote do PHP para ver se o patch entrou. |
| Tenable Nessus | Plugin 369483 para versões vulneráveis. |
| Tenable Web App Scanning | Plugins 115719 a 115722, um por ramo de 8.5 a 8.2. |
Créditos
A PHP Foundation creditou a Calif, a OpenAI e a Wiz, entre outros. A Calif (LCFR) publicou o relatório técnico.
Precisa de ajuda com o servidor?
A Boldman atualizou os servidores dos clientes do plano mensal em 21 de outubro. Se você precisa de correção, de um teste de segurança ou de alguém que cuide do servidor, fale com a gente no WhatsApp: (51) 2165-9690. O passo a passo para leigos está em PHP vulnerabilidade: como saber se o seu site está exposto, e o ataque explicado em PHP2Shell: como funciona o ataque.
Fontes
- Tenable: perguntas frequentes sobre o PHP2Shell
- The Hacker News: correções de emergência e primeiras tentativas de ataque
- Codeable: o que o dono de site WordPress precisa fazer
- Amazon: exploração antes do aviso e tentativas espalhadas depois
- CloudLinux: pacotes alt-php corrigidos e como conferir
- Greenbone: CISA, BSI e NCSC da Nova Zelândia sobre a exploração
- IT-Connect: ataques alterados para escapar do WAF da Cloudflare
