Falhas PHP2Shell expõem instalações e exigem correção de emergência
Dois bugs críticos no motor do PHP permitem execução remota sem autenticação; atualizações e reinícios são urgentes após sinais de exploração desde 17 de outubro.
Pesquisadores divulgaram duas falhas críticas no motor do PHP batizadas de PHP2Shell (CVE-2026-109618 e CVE-2026-109619) que permitem execução remota de código sem autenticação, por meio de corrupção de memória e uso de estado global antigo.
Fornecedores liberaram correções de emergência em 21 de outubro (PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35) e alertaram que soluções de configuração não interrompem totalmente o ataque.
Há evidências de que tentativas de exploração começaram antes da divulgação pública: os honeypots MadPot da Amazon registraram a primeira sondagem em 17 de outubro, e a Cloudflare relatou aumento de milhares para milhões de sondagens nas horas seguintes à divulgação de provas de conceito públicas.
Aplicar as atualizações é apenas parte do trabalho. Serviços, contêineres e pacotes de terceiros precisam ser reiniciados ou reconstruídos, e operadores devem caçar invasões com data retroativa pelo menos a 17 de outubro.
Equipes de segurança afirmam que o episódio mostra como inteligência artificial pode reduzir rapidamente o tempo entre descoberta e criação de exploits, e demanda melhor visibilidade de ativos, correções mais rápidas, implantações verificadas e maior capacidade de resposta a incidentes.