PHP solta correções de emergência para duas falhas críticas de RCE 'php2shell'
Atualizações cobrem versões 8.5, 8.4, 8.3 e 8.2; especialistas dizem que patch ou isolar sites expostos é a defesa confiável.
Uma divulgação pública das falhas CVE-2026-109618 e CVE-2026-109619 acelerou a resposta do PHP depois que pesquisadores — e uma postagem apagada no Hacker News — tornaram detalhes de exploração públicos antes do embargo planejado.
Autoridades de segurança e fornecedores pediram ação imediata: as vulnerabilidades permitem execução remota de código sem autenticação, ou seja, um invasor pode executar código controlado por ele em servidores web que rodem versões vulneráveis do PHP.
O projeto PHP lançou atualizações de emergência na quarta-feira: 8.5.12, 8.4.27, 8.3.36 e 8.2.35, além de backports parciais do código-fonte para alguns ramos mais antigos.
Provedores de infraestrutura relataram tentativas de ataque iniciais e aplicaram mitigação temporária, como regras em WAFs (firewalls de aplicações web), mas alertaram que essas medidas não substituem a atualização do runtime PHP.
Como muitas instalações usam versões fora de suporte ou são difíceis de atualizar, administradores podem precisar isolar serviços ou tirar sites do ar. Defensores devem preservar logs para análises forenses e monitorar sinais de exploração rápida.