O projeto PHP anunciou, em 21 de outubro de 2026, a disponibilização de atualizações emergenciais que corrigem duas vulnerabilidades críticas, CVE-2026-109618 e CVE-2026-109619, capazes de permitir a execução remota de código sem necessidade de autenticação em servidores web.

O que são as vulnerabilidades

As falhas, conhecidas internamente como PHP2Shell, receberam pontuação 9,2 no CVSS v4.0, indicando risco extremamente alto. O problema está no próprio mecanismo de execução do PHP, e não em aplicações específicas, afetando praticamente todas as versões desde o PHP 5.4.

A exploração pode ocorrer em diferentes ambientes de execução, incluindo PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. No caso do Apache com mod_php, uma única requisição não autenticada pode executar código malicioso antes da aplicação iniciar. No PHP‑FPM, uma das vulnerabilidades foi considerada potencialmente explorável, embora não tenha sido demonstrada uma cadeia completa de ataque; a outra teve execução de código comprovada tanto no mod_php quanto no PHP‑FPM.

Além da execução de código, as falhas podem permitir a leitura da memória dos processos PHP, expondo senhas, tokens de autenticação, chaves de API e certificados.

Correções lançadas

A equipe de segurança do PHP lançou patches nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Essas são as únicas versões que corrigem completamente as vulnerabilidades.

ItemDetalhe
Versões com correçãoPHP 8.5.12, 8.4.27, 8.3.36, 8.2.35
Identificadores das vulnerabilidadesCVE-2026-109618, CVE-2026-109619
Pontuação CVSS9,2

As vulnerabilidades permitem que invasores executem código remotamente sem autenticação.

Descoberta e colaboração

As falhas foram identificadas por pesquisadores da Wiz Research, da Califórnia, e da equipe Codex Security, da OpenAI, que trabalharam em conjunto com o time de segurança do PHP e especialistas do Google Gemini para desenvolver os patches.

Reação da infraestrutura de rede

A Cloudflare detectou tráfego associado a tentativas de exploração antes da publicação dos patches e ativou regras emergenciais às 03h02 UTC de 21 de outubro. A empresa de monitoramento watchTowr confirmou, em atualização às 14h19 UTC, a presença de tentativas ativas de exploração.

Não há confirmação pública de comprometimento bem‑sucedido de servidores específicos, e as falhas ainda não constavam no catálogo Known Exploited Vulnerabilities (KEV) da CISA.

Impacto em serviços e recomendações

A BambooHR retirou sua plataforma do ar nos Estados Unidos, Canadá e Irlanda. Na Holanda, serviços públicos como MijnOverheid, DigiD, a Câmara Baixa do Parlamento, o Centro Nacional de Cibersegurança e sistemas educacionais ficaram temporariamente indisponíveis.

Especialistas recomendam que todas as pessoas e empresas que utilizam PHP atualizem imediatamente para as versões corrigidas.