Vulnerabilidade PHP2Shell permite execução de código remoto em milhões de sites. A PHP Foundation lançou patches urgentes, mas atualizações ainda são um desafio. A correção foi publicada em 21 de outubro de 2026.

A vulnerabilidade PHP2Shell permite a execução de código remoto em servidores PHP, afetando versões 8.2 a 8.5 que não receberam patches até 30 de outubro de 2026. A PHP Foundation lançou patches urgentes para corrigir duas vulnerabilidades críticas: CVE-2026-109618 e CVE-2026-109619. As correções estão disponíveis nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP. Hackers já estão explorando as falhas, levando algumas grandes empresas a desligar temporariamente seus sites. A França está entre os países mais afetados, com 2 milhões de serviços não atualizados. A CISA incluiu as vulnerabilidades em seu catálogo KEV, incentivando atualizações urgentes.

Illustration of the letters PHP with cracks in them.
Imagem: Reprodução/spectrum.ieee.org

A vulnerabilidade foi reportada em 2024 e explotada por uma equipe da Califórnia com ajuda de IA. A atualização depende da versão do PHP e da disponibilidade dos patches no Brasil, que não foi confirmada. A informação foi revelada por fontes como Failles PHP, PHP Foundation e CISA.

PHP enfrenta críticas por demora em corrigir falhas

A vulnerabilidade PHP2Shell surgiu em um cenário de tensão crescente na segurança de servidores web. A empresa alertou que a correção exigia uma combinação específica de configurações e código de aplicação, o que dificultou a implementação rápida. Segundo o Failles PHP, 29,6 milhões de serviços PHP ainda estavam expostos no dia 30 de outubro, mesmo após a publicação dos patches. A situação reflete um desafio global: mesmo com a divulgação de patches, muitos servidores continuam sem atualização. A CISA também alertou sobre o risco, reforçando a necessidade de ações urgentes.

A vulnerabilidade não foi apenas uma descoberta isolada — a PHP já havia alertado sobre uma terceira falha, mas não priorizou a correção, o que gerou críticas. A lentidão na resposta da PHP evidencia a complexidade de manter sistemas de código aberto seguros em larga escala. A vulnerabilidade foi identificada em 2024 e explorada por uma equipe da Calif com ajuda de IA, afetando milhões de sites ao redor do mundo.

Com informações de wired.com, next.ink e techradar.com.

Fontes

  1. This is not a drill 2 php vulnerabilities are setting the internet on firewired.com
  2. Failles php2shell on a scanne tout le fr 250 000 sites affichent un php vulnerablenext.ink
  3. Php releases emergency fixes as some of the worlds biggest websites say they were targeted by hackerstechradar.com
  4. Failles php onze jours apres pres de 30 millions de sites et services web toujours vulnerables01net.com
  5. Ai in cybersecurity php2shell vulnerabilityspectrum.ieee.org

Texto escrito com IA a partir das fontes listadas e revisado por regras automáticas da redação. Como trabalhamos

Quer ver o resumer primeiro nas buscas do Google?

Adicionar às Fontes Preferidas do Google