ALERTA: Vulnerabilidades críticas no PHP
Vulnerabilidades críticas no PHP permitem execução remota de código — PHP2Shell
Severidade: Crítica
Vulnerabilidades: CVE-2026-109618 e CVE-2026-109619
1. Descrição
Foram identificadas duas vulnerabilidades críticas na linguagem PHP, denominadas em conjunto PHP2Shell, que podem permitir a um atacante executar comandos remotamente no servidor vulnerável, sem necessidade de autenticação.
As vulnerabilidades receberam pontuação CVSS 4.0 de 9,2, indicando risco crítico.
O risco é especialmente relevante para servidores web e aplicações que utilizam PHP, incluindo sistemas desenvolvidos internamente e plataformas como WordPress, Drupal, Joomla e Laravel.
2. Sistemas potencialmente afetados
Devem ser considerados prioritários os servidores que executam PHP e recebem requisições web, especialmente aqueles expostos à Internet.
A vulnerabilidade está relacionada ao núcleo do PHP, não se limitando a um sistema de gestão de conteúdo, framework ou plugin específico.
3. Recomendações
Solicita-se às equipes de TI que adotem as seguintes providências, com prioridade máxima:
- Identificar os sistemas afetados: realizar o levantamento dos servidores que executam PHP, incluindo versões instaladas, aplicações hospedadas e serviços expostos à Internet.
- Atualizar o PHP imediatamente: instalar as versões corrigidas disponibilizadas pelo projeto PHP ou pelos fornecedores das distribuições Linux utilizadas.
- Validar a correção: confirmar que os pacotes instalados contêm os ajustes de segurança. Em distribuições Linux, a versão do pacote pode diferir da versão oficial do PHP devido à aplicação de correções retroportadas (backports).
- Reduzir a exposição: caso não seja possível atualizar imediatamente, avaliar o isolamento temporário dos serviços vulneráveis expostos à Internet, até que a correção seja aplicada.
- Investigar possíveis comprometimentos: verificar logs de servidores web, PHP e sistema operacional em busca de requisições suspeitas, execução inesperada de comandos, criação de arquivos e processos anômalos.
- Medidas paliativas, como regras de firewall de aplicações web (WAF) e ajustes de configuração, não substituem a aplicação da correção oficial.
4. Prioridade e prazo
A correção deve ser tratada como emergencial, priorizando os servidores expostos à Internet e os sistemas que processam informações sensíveis ou suportam serviços críticos.
Sistemas que não possam ser atualizados imediatamente devem ter sua exposição reavaliada e medidas temporárias de contenção adotadas.
5. Referências
Tenable — PHP2Shell: CVE-2026-109618 e CVE-2026-109619: https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
Projeto PHP — Aviso de segurança e versões corrigidas: https://www.php.net/