PHP libera correções de emergência para duas falhas 'PHP2Shell' de execução remota
As atualizações fecham vulnerabilidades críticas de execução de código sem autenticação que podiam permitir comandos em servidores PHP expostos à internet.
Equipes de segurança publicaram correções de emergência na quarta-feira, 21 de outubro, depois de detalhes terem vazado. Foram lançadas versões corrigidas para ramos suportados: 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619 e apelidadas de PHP2Shell, permitem execução remota de código sem necessidade de autenticação ao explorar rotinas de manipulação de memória e de requisição do PHP.
Fornecedores como a Cloudflare relataram tentativas iniciais de exploração, enquanto equipes de resposta a incidentes (CERTs), o FBI e agências nacionais recomendaram atualização imediata do runtime ou, se não for possível aplicar os patches rapidamente, tirar sites expostos da internet.
A correção completa exige atualizar o runtime do PHP; existem soluções temporárias por configuração, mas elas são incompletas. Muitas instalações legadas ou gerenciadas por fornecedores precisarão de backports ou de atualizações fornecidas pelo próprio fornecedor.
Pesquisadores da Wiz, na Califórnia, e da OpenAI ajudaram a encontrar e validar as falhas, em parte usando análise assistida por IA. Esse uso da IA acelerou a descoberta, mas também mostra novos riscos relacionados ao desenvolvimento rápido de exploits para códigos amplamente usados, como o PHP.