PHP libera correção de emergência para duas falhas críticas 'php2shell'
Sites sem patch ou em versões sem suporte podem precisar ser isolados ou tirados do ar para evitar tomada remota de servidores.
O projeto PHP lançou atualizações de emergência na quarta-feira, 21 de outubro, que corrigem duas vulnerabilidades críticas registradas como CVE-2026-109618 e CVE-2026-109619 nas compilações 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Pesquisadores dizem que as falhas, apelidadas de php2shell, permitem execução remota de código sem autenticação ao explorar corrupção por falta de memória e estado global obsoleto no tratamento de requisições.
Detalhes vazaram antes da divulgação programada e firmas de segurança relataram tentativas de exploração já nos primeiros momentos, o que levou serviços como a Cloudflare a aplicar regras temporárias em WAFs e a recomendar atualizações imediatas.
As correções oficiais abrangem apenas PHP 8.2 a 8.5; o time do PHP forneceu backports de código-fonte limitados para algumas linhas mais antigas, o que deixa muitas instalações em fim de vida dependentes de backports do fornecedor, recompilações ou de medidas de isolamento.
Autoridades e fornecedores orientam equipes a inventariar todas as instâncias de PHP, priorizar sistemas expostos à internet para correção rápida, inspecionar logs em busca de web shells ou atividade suspeita e tirar do ar sistemas que não possam ser alcançados para aplicar remediações antes de reconectá‑los.