Os mantenedores do PHP liberaram nesta quarta-feira (21), às 14h UTC (11h no horário de Brasília), os pacotes de atualização emergencial que corrigem duas vulnerabilidades críticas de execução remota de código na linguagem de programação. Os avisos de segurança entraram no ar no GitHub às 13h34 UTC, 26 minutos antes do horário programado, após detalhes das falhas vazarem na internet antes do fim do embargo oficial. Cada brecha recebeu a nota 9,2 de um total de 10 na escala internacional de severidade CVSS v4.0.
O alerta sobre a antecipação dos pacotes havia sido emitido na terça-feira, 20 de outubro de 2026, às 19h33 UTC, na lista de discussão oficial ANNOUNCE. Na mensagem, os desenvolvedores orientaram os administradores de sistemas a preparar a instalação imediata das correções. “Reservamo-nos o direito de liberar mais cedo caso detalhes de qualquer uma das vulnerabilidades se tornem públicos, ou se surgirem evidências de exploração ativa”, declarou a equipe de segurança do PHP, em tradução livre.
Quebra de embargo e origem das brechas CVE-2026-109618 e CVE-2026-109619
Antes mesmo da publicação dos relatórios oficiais pelos mantenedores, a empresa de cibersegurança watchTowr e a Equipe de Resposta a Emergências Cibernéticas da União Europeia (CERT-EU) já haviam identificado as vulnerabilidades pelos códigos CVE-2026-109618 e CVE-2026-109619. Batizadas de php2shell, as duas falhas permitem a execução remota de código (RCE, na sigla em inglês) e possibilitam que invasores rodem comandos diretamente no servidor com os privilégios da conta web, sem necessidade de autenticação. Antes da liberação das correções, a watchTowr confirmou ter reproduzido internamente a brecha CVE-2026-109618, mantendo o funcionamento técnico sob sigilo até a entrega das atualizações.
A abertura oficial dos relatórios revelou que os problemas foram descobertos em 1º de agosto de 2026 pelo pesquisador Ryan Austin, da empresa Calif (Calif.io), em conjunto com a equipe da Wiz Research (Sagi Tzadik, Shir Tamari, Nir Ohfeld e Tomer Schwartz) e a OpenAI, que reportaram as falhas ao projeto PHP entre 11 e 24 de agosto. O vazamento que furou o embargo começou na terça-feira (20), quando um usuário com o perfil petecooper postou uma mensagem — apagada na sequência — no fórum Hacker News. Logo depois, um vídeo demonstrando a ferramenta de exploração php2shell circulou nas redes sociais, compartilhado pelo pesquisador Kirill Firsov com créditos ao pesquisador LCFR e à Calif.io. Tanto o material vazado quanto a watchTowr atribuíram inicialmente a nota máxima de 10,0 no CVSS às falhas, pontuação superior aos 9,2 oficializados pelo PHP (no padrão anterior CVSS v3.1, as notas foram de 9,8 para a CVE-2026-109618 e 8,1 para a CVE-2026-109619).
“Na última hora, duas vulnerabilidades de execução remota de código no PHP vazaram. Essas vulnerabilidades estavam anteriormente programadas sob embargo e tinham divulgação prevista para quinta-feira às 11h ET”, afirmou Benjamin Harris, diretor-executivo (CEO) da watchTowr, em tradução livre, logo após o vazamento. O executivo confirmou a veracidade do risco: “Embora não possamos compartilhar informações técnicas neste momento por razões óbvias, dada a sensibilidade, podemos confirmar que essas vulnerabilidades são de fato reais. Ambas têm pontuação CVSS 10 e entende-se que afetam as versões 5, 6, 7 e 8 do PHP”.
Leia também: Apagão global na infraestrutura da Cloudflare derruba milhares de sites e afeta rotas de DNS
Tentativas de exploração na rede e alcance nos servidores web
O monitoramento de tráfego confirmou investidas contra as brechas antes mesmo da liberação dos pacotes. Às 07h43 UTC de quarta-feira (21), o diretor de tecnologia (CTO) da Cloudflare, Dane Knecht, informou a detecção de ataques iniciais direcionados a páginas baseadas em PHP. A Cloudflare ativou regras de proteção em seu firewall de aplicação web (WAF) às 03h02 UTC da mesma quarta-feira (21) para clientes gratuitos e pagos. Além disso, a divisão Amazon Threat Intelligence identificou em sua telemetria MadPot uma tentativa de exploração da falha datada de 17 de outubro de 2026, quatro dias antes da divulgação pública, originada de uma rede comercial de anonimização.
Presente em grande parte da infraestrutura da web, o PHP é a base de sistemas de gerenciamento de conteúdo e comércio eletrônico como WordPress, Magento, Shopware, WooCommerce, Drupal, Joomla, MediaWiki, Nextcloud, Laravel e Symfony. Um levantamento da plataforma Cortex Xpanse, da Palo Alto Networks, identificou mais de 22,6 milhões de instâncias expostas na internet potencialmente vulneráveis. Enquanto o alerta inicial da empresa de segurança Sansec projetava ataques automatizados em massa 15 minutos após a entrega da atualização, a própria companhia revisou o cenário nesta quinta-feira (22): segundo os pesquisadores, a exploração em larga escala é menos provável porque o ataque exige condições e conhecimentos específicos sobre o servidor alvo, e os códigos públicos não funcionam contra uma instalação padrão do PHP.
Versões corrigidas, horários e ficha técnica das falhas no PHP
O relatório definitivo publicado pelo projeto PHP e pelas empresas de segurança estabelece os parâmetros técnicos das vulnerabilidades e dos pacotes de correção:
- Identificação oficial: CVE-2026-109618 e CVE-2026-109619 (conhecidas em conjunto como php2shell).
- Grau de severidade: nota 9,2 na escala CVSS v4.0 para cada vulnerabilidade (crítica).
- Horário de liberação dos pacotes: quarta-feira (21), às 14h UTC (11h em Brasília e 10h EDT), após publicação dos avisos no GitHub às 13h34 UTC.
- Cronograma original do embargo: quinta-feira (22), às 11h ET.
- Versões vulneráveis confirmadas: todas as edições do PHP 5.4 até o 8.5 anteriores às compilações corrigidas.
- Pacotes oficiais com correção: PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35.
Funcionamento técnico das brechas e medidas de proteção
Os pacotes binários oficiais foram distribuídos para as quatro ramificações da linguagem que contam com suporte ativo (PHP 8.2, 8.3, 8.4 e 8.5). Para sistemas que operam edições antigas em fim de vida útil, os mantenedores disponibilizaram correções apenas em código-fonte destinadas às versões 7.4, 8.0 e 8.1, sem lançamento de pacotes binários prontos, deixando gerações anteriores (como PHP 5 e 7.0 a 7.3) sem atualização direta do projeto.
Continue lendo: Cloud fora do ar? plataforma Cloudflare enfrenta pico de falhas em servidores e sistema DNS nas últimas horas
O detalhamento técnico revelou que ambas as falhas envolvem corrupção e uso de memória no interpretador. Na CVE-2026-109618, o PHP utiliza a função longjmp() durante erros de falta de memória (OOM) para interromper uma requisição, o que pode deixar a memória em estado não inicializado para ser lida ou executada na etapa seguinte de limpeza. Já na CVE-2026-109619, ponteiros de estado global não são redefinidos corretamente e continuam apontando para áreas de memória já liberadas (use-after-free) entre uma requisição e outra. De acordo com o projeto PHP, servidores que rodam a linguagem pelo módulo Apache mod_php apresentam o maior risco, mas ambientes com PHP-FPM, php-cgi, FrankenPHP e LiteSpeed também são afetados.
Para conter o risco de invasão, o CERT-EU emitiu o alerta de segurança 2026-018 orientando a aplicação imediata das atualizações ou o isolamento de aplicações expostas caso o reparo não possa ser feito na hora. Durante a janela de emergência, a Sansec chegou a sugerir o bloqueio temporário de requisições multipart/form-data, mas os mantenedores do PHP informaram que medidas paliativas — como desativar o recurso Session Upload Progress — não eliminam totalmente a brecha. Empresas de cibersegurança também mantêm o alerta sobre repositórios públicos no GitHub que prometem provas de conceito (PoC) para o php2shell, pois parte dos arquivos não funciona contra instalações reais e pode ocultar códigos maliciosos (malware). A atualização direta para as versões 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 é classificada pelos desenvolvedores como a única forma completa de proteção.
