Histórico de alterações do PHP2Shell: cada mudança nos fatos e guias

O que mudou em 22 de outubro de 2026?

• Verificador: adicionada a verificação por URL. Digite o endereço de um site e o verificador lê a versão do PHP nos cabeçalhos Server e X-Powered-By, com a lógica do php2shell-checker da OpenAI, e depois a avalia com as regras deste site. Ele envia uma única requisição HEAD e não armazena nada além de um cache de 5 minutos. A página de privacidade e os termos foram atualizados.
• Verificador: agora é possível colar no campo da versão a saída do php2shell-checker da OpenAI, uma linha do php -v ou um cabeçalho X-Powered-By; o verificador extrai a versão e aplica as regras de sempre.
• Fatos: a página da vulnerabilidade agora responde se Node.js, Java ou outras linguagens são afetados: não são, o PHP2Shell só diz respeito a servidores que rodam PHP.
• Guias: adicionados guias de correção para ambientes específicos, cada um baseado no aviso e na documentação do próprio fornecedor: painéis de controle (Plesk, aaPanel, CyberPanel, CloudPanel, DirectAdmin, HestiaCP, 1Panel), hospedagens (SiteGround, Hostinger, Kinsta, WP Engine, Cloudways, GoDaddy, Bluehost, AWS), servidores (AlmaLinux/RHEL/Rocky, Amazon Linux 2023, Windows/IIS, LiteSpeed, XAMPP), aplicações (Magento, Drupal, Joomla, Laravel, Nextcloud, phpMyAdmin) e WAFs (Cloudflare, AWS WAF e outros). A maioria desses guias está, por enquanto, só em inglês; os disponíveis em português estão na página do patch.
• Fatos: adicionado o motivo de tantos sites terem saído do ar (desligamentos preventivos noticiados pela Reuters) e a estimativa de exposição da Unit 42, com os limites dela.
• Fornecedores: o 宝塔 (a edição chinesa do aaPanel) lançou correções: o PHP 8.2–8.5 corresponde às versões corrigidas oficiais, e o 宝塔 empacotou as próprias compilações corrigidas 7.4.34, 8.0.27 e 8.1.35. O verificador trata 7.4.34 e 8.1.35 como corrigidas quando você escolhe “宝塔 / aaPanel” como origem. Ele considera apenas a compilação exata: um número maior, como 8.0.30, é uma versão antiga do php.net sem a correção, e 8.0.27 também é um número de versão antiga do php.net, então os dois agora pedem que você confirme no painel em vez de mostrar “corrigido”.
• Fatos: adicionados mais quatro alertas nacionais: CISA (EUA), CERT-In (Índia), ACN / CSIRT Italia (Itália) e a Diretoria de Segurança Cibernética da Turquia. A lista agora cobre 21 alertas de 16 países e regiões; Itália e Turquia estão marcadas como ainda não verificadas na fonte. O registro do Canadá agora aponta para o alerta AL26-026, que verificamos.
• Fatos: a CISA e o Centro Canadense de Segurança Cibernética disseram não ter observado exploração quando publicaram seus alertas. O status de exploração continua “tentativas de ataque observadas”, sem invasão bem-sucedida confirmada.
• Fatos: adicionada a nota CVSS 4.0 de 9.2 para o CVE-2026-109618 e o CVE-2026-109619, a partir dos alertas de segurança do GitHub.
• Fatos: adicionadas duas medidas temporárias oficiais para o CVE-2026-109618, a partir do aviso do PHP: remover o limite de memória do PHP e reduzir o post_max_size. Como as outras medidas temporárias, elas nunca contam como correção.
• Fatos: status de exploração atualizado para “tentativas de ataque observadas”. A Cloudflare relatou tráfego de ataque e payloads modificados antes do patch. Nenhuma invasão bem-sucedida foi confirmada.
• Fatos: adicionados os primeiros alertas de órgãos nacionais de cibersegurança, cada um marcado conforme o tenhamos verificado ou não na fonte.
• Fatos: confirmados os patches mínimos de código-fonte do PHP para o PHP 7.4, 8.0 e 8.1 (sem versões novas para esses ramos).
• Guias: adicionados guias em japonês para quatro hospedagens japonesas.
• Verificador: os resultados vêm apenas dos dados que você informa no navegador; o site nunca entra em contato com o seu servidor.
• Páginas de CVE: as páginas do CVE-2026-109618 e do CVE-2026-109619 agora começam com uma ficha da vulnerabilidade gerada a partir dos nossos dados: CVSS, versões afetadas e corrigidas, ambientes afetados, medidas temporárias, status de exploração, pacotes corrigidos das distribuições e fontes oficiais.
• Guias: adicionado PHP2Shell e WordPress, uma verificação para quem tem site WordPress.

O que havia na primeira versão, em 21 de outubro de 2026?

• Fatos: versões corrigidas 8.2.35, 8.3.36, 8.4.27 e 8.5.12, a partir do aviso de segurança do PHP.
• Fatos: detalhes das vulnerabilidades a partir dos alertas GHSA-w8hw-w9fx-j79w e GHSA-6wmf-4rv5-p3rp.
• Fatos: versões dos pacotes dos fornecedores a partir dos avisos de segurança do Ubuntu e do Debian.
• Regras: verificação de versão com quatro resultados: na faixa afetada, corresponde a uma versão corrigida, verifique o patch do fornecedor, ainda não dá para saber.
• Guias: guia do patch com uma mensagem para provedores de hospedagem, além de guias para WordPress, cPanel e Plesk, Ubuntu e Debian, Docker, PHP em fim de suporte, medidas temporárias e verificação de invasões.

O que acompanhamos para este histórico?

Os avisos e alertas de segurança do PHP, os avisos dos fornecedores de sistemas operacionais, os comunicados dos provedores de hospedagem, os órgãos nacionais de cibersegurança e a pesquisa original. Edições só de redação não entram na lista; qualquer fato novo ou corrigido, regra de avaliação ou etapa de guia entra.

Encontrou um erro?

Diga qual é a página e mande um link para a sua fonte; corrigimos fatos rapidamente e registramos a correção aqui. Veja sobre o PHP2Shell.help, ou volte ao verificador PHP2Shell.