PHP2Shell

PHP2Shell é o nome dado a duas vulnerabilidades de segurança da linguagem de programação PHP, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619. As falhas permitem a execução arbitrária de código remotamente. Sua existência foi anunciada publicamente em 20 de outubro de 2026. No dia seguinte, foram disponibilizadas correções emergenciais e informações técnicas sobre as vulnerabilidades.

Descoberta

As vulnerabilidades foram descobertas de forma independente pela empresa de segurança californiana Calif, no âmbito do projeto «Patch the Planet», da OpenAI, e pela empresa de segurança em nuvem Wiz. Segundo a Wiz, as falhas afetam versões do PHP desde a 5.4 até a série 8.

Os desenvolvedores do PHP atribuíram às vulnerabilidades uma pontuação de 9,2 em 10, classificada como crítica, segundo a versão 4.0 do Common Vulnerability Scoring System (CVSS). A empresa de segurança watchTowr atribuiu-lhes a pontuação máxima de 10,0.

Correções

Os mantenedores do PHP disponibilizaram versões corrigidas das séries 8.2, 8.3, 8.4 e 8.5. Também foram publicadas correções no código-fonte para as versões 7.4, 8.0 e 8.1, mas não foram disponibilizados binários oficiais atualizados para essas séries, que já haviam chegado ao fim de seu ciclo de vida de suporte.

As duas vulnerabilidades foram documentadas em avisos de segurança no GitHub em 21 de outubro de 2026, às 13h34 UTC, 26 minutos antes do horário anunciado para a publicação das correções.

Os mantenedores anteciparam o anúncio após informações sobre as falhas circularem no fórum Hacker News e serem confirmadas pela conta da empresa watchTowr no X. O aviso antecipado publicado no PHP.net permitiu que administradores preparassem a atualização dos sistemas antes da disponibilização das correções. A empresa de segurança Sansec estimou que ataques em larga escala poderiam começar nos primeiros 15 minutos após a publicação das correções.

Provas de conceito, análises técnicas e medidas parciais de mitigação começaram a circular na internet antes do fim do período de embargo.

A Cloudflare relatou indícios de exploração das falhas antes da publicação das correções e implementou regras temporárias de firewall de aplicação web (WAF) para tentar reduzir o risco de ataques.

Impacto

Aviso publicado na Wikipédia em inglês sobre a indisponibilidade de ferramentas mantidas pela comunidade em decorrência do PHP2Shell

Cerca de 69% dos sites usam PHP, incluindo os construídos sobre sistemas de gerenciamento de conteúdo como Drupal, Joomla e WordPress, o que tornava o impacto potencial das falhas muito amplo. O PHP também vem embutido em equipamentos de fornecedores, em painéis de controle de hospedagem de sites como o cPanel e o Plesk e em alguns aplicativos para Windows.

Seguindo recomendações da equipe de resposta a emergências informáticas da União Europeia (CERT-EU) e do Centro Nacional de Segurança Cibernética do Reino Unido (NCSC), organizações europeias retiraram temporariamente seus sites do ar enquanto aguardavam as correções. Entre elas estavam o portal do governo dos Países Baixos Overheid.nl, a plataforma nacional de comunicação escolar da Dinamarca, todos os serviços web do governo da Finlândia voltados ao público e todos os sites do Ministério do Interior da França. Nos Estados Unidos, a Agência de Segurança Nacional (NSA) recomendou que os sites fossem retirados do ar caso não pudessem ser atualizados imediatamente. O NCSC britânico divulgou um alerta semelhante, no qual pedia às organizações atenção à possível instalação de backdoors. No Japão, o Escritório Nacional de Cibersegurança orientou os usuários de PHP a atualizar seus sistemas sem demora.

A Fundação Wikimedia desativou vários de seus serviços de apoio, e os fóruns 4chan e Something Awful saíram do ar. Parte da internet japonesa também ficou indisponível, incluindo jogos como Umamusume: Pretty Derby, Granblue Fantasy e Princess Connect! Re:Dive, além de diversos sites de comércio eletrônico. O Internet Archive saiu do ar por um breve período para corrigir o problema.

Análise

Pesquisadores da Wiz compararam a gravidade do problema à do Heartbleed, vulnerabilidade revelada em 2014 numa biblioteca de criptografia usada à época por cerca de dois terços da web. Um texto explicativo publicado pelo The Guardian observou que a PHP Foundation, entidade que mantém a linguagem, contava com apenas treze funcionários em tempo integral e parcial e dependia de doações, enquanto a pesquisa em inteligência artificial, creditada por ajudar a encontrar as falhas, recebia investimentos da ordem de bilhões. Em reportagem do The New York Times, o PHP foi descrito como onipresente na web, e o jornal considerou possível que usuários comuns tivessem seus dados pessoais expostos.

Ver também

• Log4Shell
• Vulnerabilidade (computação)

Ligações externas

• Anúncio do projeto PHP