Falhas do Motor Principal PHP2Shell Core PHP, Risco de Código Limpo

Sua aplicação pode passar por revisão de código, escapar suas entradas e manter a lógica de autenticação organizada o suficiente para fazer um auditor acreditar brevemente na humanidade. Aí, o runtime por baixo dela ainda pode entregar um pé de cabra a um visitante não autenticado. Essa é a lição desconfortável do PHP2Shell, o par de falhas do PHP rastreadas como CVE-2026-109618 e CVE-2026-109619.

O principal risco não é que todos os apps PHP tenham esquecido de repente como ser seguros. É que o próprio motor do PHP está na zona de impacto, o que significa que um código de aplicação limpo pode estar sobre uma camada de execução insegura. Notas de correção geralmente parecem manuais de eletrodomésticos, mas quando um interpretador central recebe correções críticas, é sinal de que o porão começou a fazer barulho.

O que aconteceu abaixo do framework, segundo a CISA e a Huntress

A CISA afirmou que o PHP2Shell permite execução remota de código não autenticada em PHP e afeta todas as instalações de PHP que atendem requisições web. A Huntress disse que as implantações expostas incluem PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O detalhe crucial para desenvolvedores é a sequência: a Huntress descreveu um caminho de exploração no mod_php que pode ser acionado "antes que qualquer código da aplicação seja executado". Essa é a reviravolta menos favorita do teatro da segurança, porque seu controller nem chega a ter a chance de parecer corajoso.

@title Caminho da requisição no PHP2Shell
@source CISA
@source Wiz Blog

  Web request
     │
     ▼
  PHP core
     │
     ├→ Code execution
     └→ Memory disclosure

@caption A etapa arriscada acontece no próprio PHP, abaixo do código da aplicação que as equipes normalmente revisam.

A BleepingComputer informou que o PHP planejava atualizações emergenciais de segurança para 21 de outubro às 14:00 UTC, com ambas as falhas classificadas como 9,2 no CVSS v4.0. Mais tarde, a Huntress disse que a equipe do PHP lançou o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 por volta das 9h30 ET em 21 de outubro. A CISA também disse que não havia observado exploração no momento da publicação, o que é um contexto útil, não um passe livre para esperar até o scanner parar de gritar.

Por que código de app limpo não salva você, segundo a Wiz e o SANS

A Wiz disse que as vulnerabilidades estão no próprio PHP, independentemente de qualquer aplicação rodando acima dele. A Wiz também disse que versões desde o PHP 5.4 são afetadas por pelo menos uma das falhas, e que os bugs podem permitir que atacantes não autenticados executem código ou leiam memória do processo. Essa memória pode conter senhas, tokens de autenticação, chaves de API e certificados, o que é basicamente o equivalente, no runtime, a deixar o arquivo aberto durante um simulado de incêndio.

O SANS também descreveu o problema como uma vulnerabilidade no núcleo do PHP e disse que instalações padrão do PHP eram esperadas como vulneráveis. Ele também alertou que apenas o PHP 8 deveria receber uma correção, porque versões mais antigas não têm mais suporte. É aqui que software legado deixa de ser uma estratégia de continuidade de negócios e passa a ser mais uma antiguidade assombrada com um cabo de rede.

A janela de resposta, segundo The Record e BleepingComputer

The Record informou que os bugs podem permitir execução remota de código em sites não corrigidos e que centenas de sites foram tirados do ar enquanto administradores reagiam. Também citou a equipe de segurança do PHP pedindo que usuários se preparassem para poder atualizar assim que a versão ficasse disponível. Essa é a versão responsável do pânico: curta, agendada e, de preferência, seguida por uma janela de manutenção em vez de uma ponte de incidente.

A BleepingComputer informou que as falhas foram rastreadas como CVE-2026-109618 e CVE-2026-109619, e que pesquisadores acreditavam que elas afetavam as versões 5, 6, 7 e 8 do PHP. O SANS disse que orientações iniciais sugeriam definir session.upload_progress.enabled como Off como mitigação parcial, mas a palavra parcial está fazendo um trabalho sério aí. Mitigação compra tempo. Correção paga a conta.

O que realmente muda para as equipes, segundo a CISA e o SANS

A CISA orientou organizações a identificar e inventariar sistemas que executam qualquer versão do PHP, depois priorizar a correção de sistemas expostos à internet. Também alertou que a "prevalência pode não ser diretamente observável" do PHP, porque ele pode estar embutido como componente de outros softwares. Tradução: se seu inventário de ativos só conhece o nome do app, e não o runtime por baixo dele, parabéns, você inventou esconde-esconde para resposta a incidentes.

O SANS observou que muitos produtos open source de firewall e roteador usam PHP e aconselhou não expor interfaces web de administração à internet. Esse conselho não é glamouroso, mas explicar por que um painel administrativo virou a porta da frente também não é. O inventário de runtimes deve cobrir aplicações web baseadas em PHP, sistemas de gerenciamento de conteúdo, interfaces web de administração e softwares de fornecedores nos quais o PHP pode estar empacotado por baixo do nome do produto.

O que isso realmente significa para você

Se você executa PHP atendendo requisições web, migre para PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, como a CISA recomenda. Se você está no PHP 8.1 ou anterior, trate isso como um problema de runtime sem suporte, não apenas como um item no backlog de desenvolvimento. A lição para quem constrói software é maior do que esse par de CVEs: segurança de aplicações precisa incluir o interpretador, a integração com o servidor web e as dependências silenciosas da plataforma que executam código antes que o seu código consiga se apresentar.

A próxima coisa a observar é se produtos downstream emitem suas próprias atualizações e se os inventários de ativos realmente conseguem encontrar o PHP onde ele está escondido dentro de outros softwares. Não precisa de trilha sonora apocalíptica. Apenas corrija o runtime, verifique a versão em execução, reduza a exposição desnecessária à internet e adicione motores de linguagem à lista de coisas que seu programa de segurança trata como infraestrutura de produção, em vez de encanamento.