A agência de segurança cibernética dos Estados Unidos, CISA, incluiu em 26 de outubro de 2026 duas vulnerabilidades do PHP, conhecidas como PHP2Shell, em seu catálogo de falhas comprovadamente exploradas. As falhas são identificadas como CVE-2026-109618 e CVE-2026-109619.

Em determinadas condições, um invasor sem autenticação pode explorá-las para executar código no servidor afetado. O risco é especialmente relevante para aplicações PHP expostas à internet, incluindo sites, sistemas corporativos e serviços de terceiros.

A CISA estabeleceu 29 de outubro de 2026 como prazo de correção para os órgãos civis do poder executivo federal dos EUA. A obrigação se aplica a esses órgãos, mas a agência também recomenda que outras organizações priorizem a correção. A PHP Foundation disponibilizou atualizações de segurança em 21 de outubro.

Como funcionam as falhas

As vulnerabilidades afetam o gerenciamento de memória e o estado interno de requisições do PHP. Segundo a PHP Foundation, a CVE-2026-109618 pode ocorrer quando uma requisição atinge o limite de memória em um momento específico e deixa dados internos parcialmente inicializados. A segunda falha envolve informações internas que permanecem entre requisições e podem levar ao uso de memória já liberada.

Uma exploração bem-sucedida pode permitir que o invasor execute código com os privilégios do processo PHP. Dependendo das permissões e do ambiente, isso pode comprometer a aplicação, dados acessíveis e outros recursos conectados. A presença de uma versão vulnerável não significa, por si só, que houve invasão.

O centro canadense de segurança cibernética informa que instalações PHP que atendem requisições web estão em risco, incluindo PHP-FPM, Apache com mod_php, PHP-CGI, FrankenPHP e LiteSpeed. O projeto PHP considera o risco particularmente elevado em mod_php, pois uma requisição demonstrada pode atingir a falha antes da execução do código da aplicação.

Versões corrigidas

As atualizações oficiais lançadas para as versões suportadas são:

Série do PHPPrimeira versão com correção
8.58.5.12
8.48.4.27
8.38.3.36
8.28.2.35

As versões 8.1 e anteriores não recebem mais atualizações do projeto PHP. Algumas distribuições e fornecedores de suporte estendido podem disponibilizar correções para versões antigas; confirme a situação com o fornecedor ou migre para uma versão suportada. Em pacotes de distribuição, a numeração pode não refletir diretamente uma correção incorporada pelo fornecedor.

O que as organizações devem fazer

  1. Identifique os ambientes com PHP, incluindo aplicações próprias, serviços hospedados, imagens de contêiner e produtos de terceiros.
  2. Atualize imediatamente para uma versão corrigida ou aplique o pacote de segurança confirmado pelo fornecedor. Priorize sistemas expostos à internet e valide a atualização nos ambientes em execução.
  3. Isole temporariamente os serviços expostos que não possam ser corrigidos de imediato, avaliando o impacto operacional. A equipe do PHP alerta que não há mitigação completa que substitua a atualização.
  4. Investigue sinais de comprometimento, como processos inesperados, alterações suspeitas em arquivos e atividade incomum nos registros de acesso e do servidor. Atualizar corrige a vulnerabilidade, mas não remove uma eventual invasão anterior.
  5. Acompanhe os avisos dos fornecedores, inclusive para aplicações e equipamentos gerenciados por terceiros, e mantenha os controles de monitoramento ativos.

Para empresas brasileiras, o prazo federal americano não cria uma obrigação automática, mas o registro de exploração reforça a necessidade de tratar a correção como prioridade operacional.

CISA: alerta sobre as vulnerabilidades críticas no PHP

PHP Foundation: correções de segurança e detalhes das vulnerabilidades