A equipe de segurança do PHP agendou para as 11h (horário de Brasília) desta quarta-feira (21) a liberação de uma atualização emergencial que corrige duas vulnerabilidades críticas na linguagem de programação. O lançamento foi antecipado após informações sobre as brechas vazarem na internet antes do fim do embargo oficial, e cada falha recebeu a nota 9,2 de um total de 10 na escala de severidade CVSS v4.0 (sistema internacional que mede a gravidade de falhas de segurança).
Em comunicado publicado na terça-feira, 20 de outubro de 2026, às 19h33 UTC, na lista de discussão oficial ANNOUNCE, os desenvolvedores pediram que os administradores de sistemas estejam prontos para instalar os pacotes assim que ficarem disponíveis. “Reservamo-nos o direito de liberar mais cedo caso detalhes de qualquer uma das vulnerabilidades se tornem públicos, ou se surgirem evidências de exploração ativa”, afirmou a equipe de segurança do PHP, em tradução livre.
Vazamento das falhas CVE-2026-109618 e CVE-2026-109619
Embora o aviso oficial do projeto não mencione os códigos de identificação nem detalhes técnicos, pesquisadores da empresa de cibersegurança watchTowr e a Equipe de Resposta a Emergências Cibernéticas da União Europeia (CERT-EU) identificaram as brechas como CVE-2026-109618 e CVE-2026-109619. Ambas foram apelidadas por especialistas como php2shell e são descritas como falhas de execução remota de código (RCE, na sigla em inglês), o que permite a um invasor rodar comandos no servidor alvo sem a necessidade de autenticação prévia. A watchTowr declarou acreditar que já conseguiu reproduzir internamente a falha CVE-2026-109618, mas informou que não divulgará o funcionamento técnico até a liberação dos pacotes de correção.
Continue lendo: Apagão global na infraestrutura da Cloudflare derruba milhares de sites e afeta rotas de DNS
A quebra do embargo começou na terça-feira (20), quando um usuário identificado como petecooper publicou uma mensagem, posteriormente removida, no fórum Hacker News e o assunto se espalhou pelas redes sociais. Na sequência, um vídeo demonstrando a cadeia de exploração batizada de php2shell circulou na internet, compartilhado pelo pesquisador de segurança Kirill Firsov com créditos atribuídos ao pesquisador LCFR e à empresa Calif.io. O vazamento inicial e a própria watchTowr classificaram inicialmente o problema com a pontuação máxima de 10,0 no CVSS, número que diverge da nota 9,2 oficializada horas depois pelos mantenedores do PHP.
“Na última hora, duas vulnerabilidades de execução remota de código no PHP vazaram. Essas vulnerabilidades estavam anteriormente programadas sob embargo e tinham divulgação prevista para quinta-feira às 11h ET”, declarou Benjamin Harris, diretor-executivo (CEO) da watchTowr, em tradução livre. O executivo acrescentou que as brechas são reais: “Embora não possamos compartilhar informações técnicas neste momento por razões óbvias, dada a sensibilidade, podemos confirmar que essas vulnerabilidades são de fato reais. Ambas têm pontuação CVSS 10 e entende-se que afetam as versões 5, 6, 7 e 8 do PHP”.
Veja também: Cloudflare registra falhas acentuadas em serviços de conexão de servidor e DNS nas últimas 24 horas
Ataques detectados pela Cloudflare no PHP e impacto na web
Apesar de não haver registro de invasões na data do vazamento, o cenário mudou na manhã desta quarta-feira (21). Às 07h43 UTC, o diretor de tecnologia (CTO) da Cloudflare, Dane Knecht, informou que a empresa começou a detectar tentativas iniciais de ataques explorando as vulnerabilidades contra sites baseados em PHP. A empresa de segurança Sansec estimou que ataques automatizados em massa devem ter início dentro de 15 minutos após a liberação oficial das atualizações pelo projeto.
Confira também: Cloudflare (NET) apresenta novo protocolo para verificar tráfego online e aumentar a privacidade na internet
O PHP é uma das linguagens de script mais utilizadas na infraestrutura da internet, servindo de base para sistemas de gerenciamento de conteúdo, como o WordPress, e grandes plataformas de comércio eletrônico, incluindo Magento, Shopware e WooCommerce. O apelido php2shell faz alusão direta a vulnerabilidades históricas de alto impacto e indica o potencial da falha para conceder um terminal de controle remoto (shell) em servidores desprotegidos. Ainda não há confirmação oficial da equipe de desenvolvimento sobre a lista exata de versões vulneráveis: enquanto o vazamento no Hacker News e a watchTowr apontaram impacto nas gerações 5, 6, 7 e 8, uma captura de tela da ferramenta de exploração e a empresa Sansec indicam que o problema atinge sistemas a partir do PHP 5.4.0.
Acompanhe: Cloudflare anuncia redução de 20% do quadro de funcionários com foco em IA
Horários, códigos e versões da atualização emergencial do PHP
Os dados confirmados sobre a liberação dos pacotes de correção e a classificação das falhas reúnem os seguintes parâmetros técnicos:
- Códigos das vulnerabilidades: CVE-2026-109618 e CVE-2026-109619 (apelidadas de php2shell).
- Severidade oficial: pontuação 9,2 na escala CVSS v4.0 para cada uma das duas falhas.
- Data e horário do lançamento: quarta-feira (21), às 14h UTC (11h no horário de Brasília e 10h EDT).
- Previsão original antes do vazamento: quinta-feira (22), às 11h ET.
- Versões corrigidas previstas (segundo a empresa Tenable): PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Quem recebe a correção do PHP e como proteger servidores
Apenas as ramificações da linguagem que contam atualmente com suporte ativo — PHP 8.2, 8.3, 8.4 e 8.5 — receberão os pacotes oficiais de correção nesta quarta-feira (21). Administradores que operam versões antigas que já atingiram o fim de vida útil, o que inclui todas as edições abaixo da 8.2 (como PHP 5, 7, 8.0 e 8.1), ficarão sem atualização oficial do projeto.
Diante do risco de invasão imediata, o CERT-EU emitiu o alerta de segurança 2026-018, recomendando que as organizações se preparem para aplicar o pacote de correção assim que ele for liberado ou considerem isolar aplicações expostas à internet caso a atualização imediata não seja viável. Como medida paliativa até que a instalação ocorra, a empresa Sansec recomendou o bloqueio temporário de requisições do tipo multipart/form-data diretamente no servidor web.
A causa técnica exata das duas vulnerabilidades e a confirmação sobre se instalações padrão do PHP são vulneráveis sem configurações específicas ainda não foram divulgadas. Empresas de segurança também alertam que repositórios públicos que alegam conter provas de conceito (PoC) para o php2shell começaram a circular na rede, mas não foram totalmente verificados e podem conter arquivos maliciosos (malware). Os desenvolvedores do PHP publicarão o relatório técnico completo, a lista definitiva de versões afetadas e os arquivos de atualização às 11h (horário de Brasília) desta quarta-feira (21).
