PHP2Shell: falha crítica no PHP exige atualização imediata

Em 21 de outubro de 2026, a equipe de pesquisa da Wiz divulgou duas vulnerabilidades críticas no núcleo do PHP, a linguagem que sustenta boa parte da internet. Apelidadas de PHP2Shell, elas permitem que um atacante, sem precisar de login, execute código em servidores vulneráveis ou leia dados sensíveis guardados na memória do processo. No mesmo dia, o projeto PHP publicou as correções. A recomendação dos especialistas é atualizar agora.

O que é a PHP2Shell

Segundo a Wiz, o PHP é usado por cerca de 70% dos sites do mundo. Ele roda por trás de plataformas como WordPress, Drupal, Joomla e MediaWiki, que é o sistema da Wikipédia. As falhas estão no motor da linguagem, e não nesses sistemas. Por isso, um site simples feito em PHP pode estar exposto mesmo que o WordPress esteja impecavelmente configurado.

As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, têm nota 9,2 em uma escala que vai de 0 a 10. Elas surgem quando o servidor fica sem memória no meio do processamento de uma requisição. Nesse momento, o PHP pode deixar para trás dados de uma operação interrompida, que outra requisição depois reaproveita. Um atacante pode explorar esse comportamento para executar comandos ou ler informações de outros usuários.

Segundo a Wiz, as falhas existem há mais de uma década, e a pesquisa mostrou que modelos de inteligência artificial reduziram muito o trabalho necessário para transformá-las em ataques funcionais. Na prática, vulnerabilidades que antes pareciam difíceis de explorar tendem a se tornar alvos mais comuns.

Por que é grave

• Não exige autenticação. Basta uma requisição HTTP bem construída.
• Atinge o núcleo, e não a aplicação. Atualizar o WordPress, um plugin ou um tema não resolve. Só a correção do próprio PHP elimina o problema.
• Expõe segredos. Além de permitir a execução de código, a falha possibilita ler a memória do processo, onde podem estar senhas, tokens, chaves de API e certificados.

Riscos para empresas com sites em WordPress

Um site comprometido pode servir para distribuir malware aos visitantes, desfigurar a página, roubar dados de clientes ou usar o servidor como ponte para atacar outros sistemas da empresa. Credenciais de banco de dados e de painéis administrativos vazadas podem abrir caminho para incidentes maiores. Dependendo dos dados tratados, há ainda implicações com a LGPD e impacto na reputação da marca. Em hospedagens compartilhadas, um servidor comprometido pode afetar outros sites no mesmo ambiente.

Versões corrigidas

Atualize para uma destas versões, ou para uma posterior dentro do mesmo ramo:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

As versões anteriores a estas, como 8.5.11, 8.4.26, 8.3.35 e 8.2.34, não contêm a correção. O PHP 8.1 e as versões mais antigas não recebem correção oficial do projeto. Nesses casos, a saída é migrar para uma versão suportada ou usar uma correção fornecida pela distribuição do sistema operacional.

Ações imediatas

1. Faça um inventário. Localize todas as instalações de PHP da empresa, inclusive servidores antigos, containers e ambientes de teste esquecidos.
2. Verifique a versão do PHP em uso. Não basta conferir a versão do WordPress. Em servidores Linux, o comando php -v mostra a versão instalada. Se a distribuição aplica correções por conta própria, confirme o status com o fornecedor.
3. Atualize o PHP e reinicie os serviços. Depois da atualização, reinicie o PHP-FPM, o Apache e os demais processos de longa duração. Sem o reinício, o servidor pode continuar rodando a versão antiga.
4. Não confie apenas em ajustes de configuração. Desativar opções como session.upload_progress não substitui a correção.
5. Se não for possível atualizar agora, isole o servidor da internet quando isso for viável ou coloque um firewall de aplicação (WAF) na frente do site. Alguns provedores de hospedagem e de CDN já disponibilizaram regras de proteção, mas elas são uma medida provisória.
6. Monitore os sinais de ataque. Fique atento a requisições com upload de arquivos seguidas de erros de limite de memória, respostas HTTP 500 repetidas, cookies PHPSESSID anormalmente grandes e processos PHP que disparam shells ou downloads.
7. Desconfie de provas de conceito falsas. Já circulam repositórios que se apresentam como exploits da falha e contêm malware. Não execute códigos de origem duvidosa.
8. Planeje a saída de versões sem suporte. Se o seu site roda em uma versão antiga do PHP, a atualização precisa entrar no planejamento, e não apenas na lista de emergências.

Para o seu negócio

Vale fazer três perguntas à sua equipe de TI ou ao seu fornecedor de hospedagem: qual versão de PHP está em uso, quando o servidor foi atualizado pela última vez e quem é responsável por manter a infraestrutura. Se a resposta for “não sei”, essa já é a primeira informação importante. Empresas sem equipe interna dedicada podem buscar apoio de um parceiro de confiança para fazer o levantamento e a atualização com segurança.

A divulgação da PHP2Shell também lembra que a segurança de um site depende de toda a pilha tecnológica por trás dele, e não só do que aparece na tela. Manter o software em dia continua sendo uma das medidas mais eficazes e menos custosas para reduzir riscos.

Fontes: blog da Wiz sobre a PHP2Shell (wiz.io/blog/php2shell-php-rce), publicado em 21 de outubro de 2026, e comunicados de Tanium e Help Net Security sobre as versões corrigidas.