Falhas PHP2Shell forçam atualização de emergência em milhões de sites
Duas vulnerabilidades críticas no motor PHP levaram a varreduras massivas e correções urgentes; instalações antigas continuam expostas
Pesquisadores, combinando trabalho humano e análise assistida por IA, identificaram duas falhas de execução remota de código que permitem a invasores rodar comandos dentro do PHP. Equipes de segurança transformaram esses achados em exploits funcionais.
O projeto PHP publicou correções oficiais para os ramos com suporte em 21 de outubro de 2026, lançando as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, e pediu atualizações imediatas.
Fornecedores de nuvem e empresas de segurança detectaram sondagens e tentativas de exploração antes da divulgação pública; poucas horas após a publicação dos patches, varreduras automatizadas subiram para milhões.
Como resposta de emergência, administradores tomaram medidas como remoção temporária de sites, aplicação de regras em firewalls de aplicação web, inventário de instâncias PHP, correção quando possível e busca em logs por sinais de comprometimento anterior ao patch.
Líderes de segurança alertam que o episódio expõe uma grande dívida técnica: muitas instalações de PHP expostas à internet ou em fim de vida continuam sem correção. Organizações precisam acelerar a visibilidade de ativos, o processo de aplicação de patches e a capacidade de resposta a incidentes para reduzir riscos futuros.