PHP2Shell: verifique se o seu PHP é afetado e corrija

O que você precisa saber sobre o PHP2Shell?

Comece por aqui: o que é o PHP2Shell, quem já emitiu alertas e o que está ou não confirmado.

O que é o PHP2Shell e qual a gravidade dessa vulnerabilidade do PHP?

PHP2Shell é o nome que a Wiz Research deu a duas falhas de segurança de memória no runtime do PHP: CVE-2026-109618 (“RCE via OOM corruption”) e CVE-2026-109619 (“RCE via stale global state”). O projeto PHP classifica as duas como críticas (nota CVSS 4.0 de 9.2), porque uma requisição vinda da internet pode levar à execução remota de código: um atacante poderia rodar comandos com as permissões do seu servidor web, alterar arquivos do site e ler senhas do banco de dados.

As falhas estão no PHP, não no WordPress, no Drupal ou em outra aplicação, então atingem qualquer site cujo PHP atenda requisições web em uma versão sem correção. A página sobre a vulnerabilidade PHP2Shell explica os dois bugs, quem é afetado e o que ainda não se sabe.

Quais governos emitiram alertas sobre o PHP2Shell?

Órgãos nacionais de cibersegurança de mais de uma dúzia de países e regiões, entre eles Estados Unidos (NSA, FBI), Reino Unido (NCSC), União Europeia (CERT-EU), Japão, Alemanha, França e Singapura, emitiram alertas sobre o PHP2Shell. A maioria pede que as organizações descubram onde rodam PHP e atualizem imediatamente, e vários recomendam tirar o site do ar ou isolá-lo se não for possível aplicar a correção. Até 22 de outubro de 2026, não verificamos nenhum alerta de órgão do governo brasileiro. Veja a lista completa de alertas nacionais sobre o PHP2Shell, com o link para o aviso de cada órgão.

Só uso a internet e não tenho site. Preciso fazer alguma coisa?

Não é preciso fazer nada no seu celular ou computador por causa do PHP2Shell. A correção tem que ser instalada nos servidores web por quem administra os sites. Alguns produtos, como storages de rede (NAS) ou outros equipamentos com página de administração web, embarcam PHP, como vários órgãos nacionais lembram; deixe as atualizações de firmware ativadas e instale-as quando o fabricante as lançar. Troque uma senha só se um serviço que você usa pedir, e desconfie de e-mails ou SMS que usam o PHP2Shell como desculpa para você “atualizar” algo ou fazer login: golpistas aproveitam as grandes notícias de segurança.

O PHP2Shell já está sendo explorado?

Há relatos de tentativas de ataque, mas nenhuma invasão bem-sucedida foi confirmada. A Cloudflare disse ter observado tráfego de ataque e atacantes modificando os payloads antes do lançamento da correção. Nenhuma das fontes que consultamos até 22 de outubro de 2026 confirma que algum site foi de fato tomado por meio do PHP2Shell; isso não é o mesmo que dizer que ninguém está explorando a falha. A afirmação muito compartilhada de que os sites seriam invadidos em 15 minutos depois do patch não tem respaldo nas fontes que consultamos: a Sansec escreveu que espera exploração em massa, sem indicar prazo. De qualquer forma, atualize agora.

Por que tantos sites estão fora do ar por causa do PHP2Shell?

Na maioria das vezes, por precaução. Órgãos dos Estados Unidos, do Reino Unido, da União Europeia e do Japão pediram que as organizações tirassem do ar os sistemas PHP que não pudessem corrigir de imediato, e sites de governo na Alemanha, na França, na Holanda, na Finlândia e na República Tcheca, o Porto de Roterdã e alguns sistemas da Wikimedia saíram do ar, segundo a Reuters. Fora do ar não quer dizer invadido. Veja quem tirou sites do ar.

Os vazamentos de dados recentes foram causados pelo PHP2Shell?

Não encontramos nenhuma evidência pública que ligue vazamentos de dados recentes específicos ao PHP2Shell. Alguns provedores de hospedagem suspenderam serviços ou recursos temporariamente por precaução, por exemplo a Lolipop e a Sakura Internet no Japão; um desligamento preventivo não é o mesmo que um vazamento. Trate como não verificado qualquer post que culpe o PHP2Shell por um vazamento específico, a menos que a própria empresa afetada diga isso.

O PHP2Shell é a mesma coisa que o wp2shell?

Não. wp2shell é o nome de uma vulnerabilidade crítica diferente, no núcleo do WordPress, corrigida atualizando o WordPress. O PHP2Shell está no próprio PHP e é corrigido atualizando o PHP. Se você usa WordPress, garanta que tanto o WordPress quanto o PHP estejam atualizados.

O meu site é afetado pelo PHP2Shell?

Descubra qual PHP o seu site realmente usa e compare com as versões corrigidas.

O meu site WordPress é afetado pelo PHP2Shell?

Provavelmente, até você conferir. O WordPress roda sobre PHP, então um site WordPress é afetado quando o PHP que o atende é anterior à versão corrigida do seu ramo. Atualizar o WordPress, os temas ou os plugins não corrige o PHP2Shell; só uma atualização do PHP corrige. No WordPress, abra Ferramentas → Saúde do site → Informações → Servidor para ver a versão do PHP. O nosso guia da versão do PHP no WordPress mostra o passo a passo.

Para a verificação completa no WordPress, veja PHP2Shell e WordPress.

Como vejo qual versão do PHP o meu site usa?

Procure em um destes lugares:

• WordPress: Ferramentas → Saúde do site → Informações → Servidor.
• Painel de controle da hospedagem: as configurações de PHP do seu domínio.
• Servidor ou contêiner: php -v nesse servidor ou dentro desse contêiner. Ele mostra o PHP de linha de comando, que pode ser diferente do PHP que atende o seu site; por isso confirme qual pool do PHP-FPM ou módulo do Apache serve o site.

Informe o que encontrar no verificador de versão do PHP. O guia como verificar a versão do PHP cobre todos os métodos.

Dá para testar o meu site online, só informando o endereço?

Em parte. O verificador PHP2Shell consegue ler a versão do PHP que o seu site anuncia nos cabeçalhos HTTP, usando a lógica do php2shell-checker da OpenAI. Ele envia uma única requisição comum e mais nada. Muitos sites escondem esse cabeçalho, e um cabeçalho pode estar errado ou não refletir um backport do fornecedor; por isso, uma versão ausente ou com cara de antiga não é a palavra final. A verificação mais segura é a versão que aparece no painel de controle ou na Saúde do site, informada no mesmo verificador.

Como descubro se o meu site já foi invadido?

Uma verificação de versão não responde a isso. Primeiro atualize o PHP; depois procure alterações que você não fez: usuários administradores desconhecidos, arquivos PHP em pastas de upload, arquivos modificados recentemente e tarefas agendadas que você não criou. Se encontrar algo, guarde as evidências, troque as senhas e restaure um backup limpo. Use o guia como saber se o seu site foi invadido.

Como corrijo o PHP2Shell?

Atualize o PHP para uma versão corrigida ou para o pacote corrigido do seu fornecedor e depois reinicie o PHP.

Qual versão do PHP já tem a correção do PHP2Shell?

Estas são as primeiras versões corrigidas de cada ramo com suporte; qualquer versão mais nova do mesmo ramo também contém a correção. As distribuições Linux costumam fazer backport da correção nos próprios pacotes sem mudar o número de versão do PHP, então um número menor vindo do Ubuntu ou do Debian ainda pode estar corrigido. O guia do patch do PHP2Shell explica como atualizar e como confirmar que deu certo.

Uso hospedagem compartilhada. A minha hospedagem vai corrigir o PHP2Shell automaticamente?

Na hospedagem compartilhada ou gerenciada, quem instala o PHP é a hospedagem, então é ela que precisa disponibilizar a versão corrigida. Algumas hospedagens atualizam automaticamente; outras deixam você escolher a versão do PHP por site, e a correção só vale depois que você seleciona uma versão corrigida. Confira a versão que o seu site mostra e depois fale com o suporte. O guia do patch traz uma mensagem pronta para abrir o chamado.

E o PHP 7.4, 8.0 ou 8.1?

Esses ramos não recebem mais versões do PHP, então não existe uma nova versão oficial 7.4, 8.0 ou 8.1 com a correção. Pela gravidade, o PHP publicou patches mínimos de código-fonte para 7.4, 8.0 e 8.1 para quem compila o PHP por conta própria, e algumas distribuições Linux e fornecedores de suporte estendido distribuem pacotes com backport; o pacote php8.1 do Ubuntu 22.04, por exemplo, está corrigido. Ramos anteriores ao 7.4 não têm patch oficial nenhum. A solução duradoura é migrar para um ramo com suporte. Veja fim do suporte do PHP e PHP2Shell.

Como explico o PHP2Shell para o meu chefe, clientes ou hospedagem?

Fique nos fatos: quais sites rodam PHP, qual versão cada um usa, quem vai atualizar e até quando. Para a gestão: “O PHP, sobre o qual nossos sites rodam, tem duas vulnerabilidades críticas; as correções já estão disponíveis; vamos atualizar e confirmar todos os sites até [data].” O guia do patch tem um pedido pronto para copiar e enviar à hospedagem.

E se eu ainda não puder atualizar o PHP?

As medidas temporárias reduzem a exposição a caminhos de ataque específicos. Nenhuma delas é uma correção.

Uso Cloudflare ou outro WAF. Ainda preciso atualizar o PHP?

Sim. O WAF protege só em parte, e apenas o tráfego que passa por ele. A Cloudflare implantou regras de WAF para todos os planos com WAF ativado, incluindo o Free, cerca de nove horas antes da divulgação, e relatou atacantes mudando os payloads para contorná-las. Um WAF filtra padrões de ataque conhecidos; ele não muda o PHP do seu servidor, e requisições que chegam direto ao servidor passam por fora dele. O WAF é uma camada extra, não uma correção: atualize o PHP mesmo usando Cloudflare. Veja PHP2Shell e Cloudflare para saber o que conferir e regras de WAF para o PHP2Shell para AWS WAF, Fastly e Imperva.

Desligar o session.upload_progress resolve?

Não. O PHP diz que definir session.upload_progress.enabled=0 bloqueia alguns caminhos de ataque confirmados do CVE-2026-109619, não todas as variantes, e não faz nada contra o CVE-2026-109618. Além disso, só funciona se for definido antes da leitura da requisição e seguido da reinicialização de todos os workers do PHP. Nas palavras do próprio PHP, só a atualização é uma solução completa. A página de medidas temporárias do PHP2Shell lista todas as medidas oficiais para as duas falhas e os limites de cada uma.

O aviso de segurança do PHP é explícito: só a atualização é uma solução completa (“only an update is a complete solution”). — Aviso de segurança do PHP

De onde vêm estas informações?

Do aviso de segurança do PHP, dos dois alertas de segurança do GitHub, dos avisos dos fornecedores Linux, de órgãos nacionais de cibersegurança e da pesquisa original. Conferimos tudo em 22 de outubro de 2026. Nunca executamos exploits.

• The PHP Group: aviso de segurança e versões corrigidas
• Alerta do GitHub: RCE via OOM corruption
• Alerta do GitHub: RCE via stale global state
• Wiz Research: pesquisa original do PHP2Shell
• Cloudflare: proteção de WAF contra o PHP2Shell
• Sansec: pesquisa e linha do tempo do PHP2Shell
• Canonical: aviso de segurança do Ubuntu para o PHP
• Debian: anúncio de segurança do php8.4
• Lolipop: aviso de suspensão preventiva (X)
• Nikkei: Sakura Internet suspende alguns recursos
• Rapid7: wp2shell, uma vulnerabilidade diferente no núcleo do WordPress