Vulnerabilidade PHP2Shell: o que é, quem é afetado e qual a gravidade

Quais são as duas vulnerabilidades do PHP2Shell?

As duas são bugs de segurança de memória no próprio PHP, corrigidos nas mesmas versões.

Cada uma tem sua própria página: CVE-2026-109618 e CVE-2026-109619.

Quem é afetado pela vulnerabilidade PHP2Shell?

Qualquer instalação do PHP que atenda requisições web em uma versão sem correção. O alerta do PHP lista PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed, e classifica o risco como mais alto no mod_php, em que um exploit demonstrado roda antes de qualquer código da aplicação. A pesquisa original relata que pelo menos uma das falhas existe desde o PHP 5.4.

O PHP 8.1 e anteriores não recebem versões novas; o PHP publicou patches mínimos de código-fonte apenas para 7.4, 8.0 e 8.1. As versões corrigidas são:

Qual a gravidade do PHP2Shell?

Crítica. Execução remota de código significa que um atacante poderia rodar comandos com as permissões do seu servidor web: alterar ou plantar arquivos, ler configurações como senhas do banco de dados e instalar um backdoor que sobrevive à atualização. A pesquisa também descreve uma forma de vazar a memória do processo. Se um servidor específico pode ser atacado ainda depende da versão do PHP, da configuração, do layout de memória e da aplicação.

Quais governos emitiram alertas sobre o PHP2Shell?

Órgãos nacionais de cibersegurança da Ásia, da Europa e da América do Norte emitiram alertas sobre a vulnerabilidade PHP2Shell. A maioria pede que as organizações atualizem imediatamente; vários recomendam tirar os serviços do ar ou isolá-los se não puderem ser corrigidos, e alguns lembram que o PHP também vem embarcado em produtos e equipamentos. Até 22 de outubro de 2026, não verificamos nenhum alerta de órgão do governo brasileiro.

Por que tantos sites saíram do ar por causa do PHP2Shell?

Na maioria das vezes, por precaução. Governos pediram que as organizações tirassem do ar os sistemas PHP que não pudessem corrigir de imediato, e muitas fizeram isso. A Reuters noticiou em 21 de outubro de 2026 que estes tiraram sites ou serviços do ar:

• Alemanha: o provedor federal de TI ITZBund, que chamou a medida de “puramente preventiva”.
• França: sites de prefeituras (préfectures), enquanto aguardavam o patch.
• Bélgica: sites do Ministério das Relações Exteriores.
• Holanda: o Porto de Roterdã, o Overheid.nl, os cinco maiores partidos políticos e muitos hospitais, seguindo o exemplo do Centro Nacional de Segurança Cibernética.
• Finlândia: serviços web do governo operados pela Valtori, como “medida de precaução”.
• República Tcheca: o site do governo, por recomendação do seu órgão de cibersegurança.
• Wikimedia Foundation: alguns sistemas, “até que possam ser corrigidos com segurança”.

No Japão, hospedagens como Xserver e Lolipop também suspenderam os painéis de controle por precaução. Um site fora do ar ou em manutenção não significa que foi invadido.

Quantos servidores estão expostos ao PHP2Shell?

As estimativas variam porque cada scanner conta uma coisa diferente. A Unit 42, da Palo Alto Networks, relatou mais de 22,6 milhões de instâncias expostas “potencialmente vulneráveis”, com base na própria telemetria, sem definir o que é uma instância. Um servidor que informa um número de PHP antigo pode já ter um backport do fornecedor, e um único servidor pode hospedar muitos sites; por isso, trate qualquer número isolado como uma escala aproximada, não como uma contagem de sites invadíveis.

A vulnerabilidade PHP2Shell já está sendo explorada?

Foram vistas tentativas de ataque, mas nenhuma invasão bem-sucedida foi confirmada. A Cloudflare relatou tráfego de ataque contra os clientes dela e atacantes mudando os payloads para contornar as regras antes do lançamento da correção. Nenhuma das fontes que consultamos até 22 de outubro de 2026 confirma uma invasão bem-sucedida por meio do PHP2Shell, o que não significa que ninguém está explorando a falha. A CISA e o Centro Canadense de Segurança Cibernética disseram não ter observado exploração quando publicaram seus alertas. A Sansec espera exploração em massa agora que o patch e as análises técnicas são públicos.

Também surgiram repositórios que dizem conter exploits funcionais. Não os verificamos e não colocamos links para eles. Não baixe nem execute código desses repositórios.

O PHP2Shell afeta todo site em PHP da mesma forma?

Não. “Pelo menos uma falha desde o PHP 5.4” descreve onde o código vulnerável existe, não prova que um mesmo ataque funcione contra todo site. As notas CVSS das duas falhas classificam a complexidade de ataque como alta e indicam que certas condições precisam estar presentes, e o PHP considera o mod_php o caso de maior risco. Por outro lado, a Sansec relata que pesquisadores confirmaram execução de código contra aplicações populares e que as configurações padrão são vulneráveis. A suposição segura é que um PHP exposto à web e sem correção está vulnerável.

O PHP2Shell é a mesma coisa que o wp2shell?

Não. wp2shell é o nome de uma vulnerabilidade crítica diferente, no núcleo do WordPress, corrigida atualizando o WordPress. O PHP2Shell está no próprio PHP e é corrigido atualizando o PHP. Os buscadores às vezes misturam os dois nomes, então confira os números de CVE ao ler qualquer recomendação.

O PHP2Shell afeta Node.js, Java ou outras linguagens?

Não. O PHP2Shell é uma falha no runtime do PHP, então só importa onde um servidor roda PHP. Um site feito em Node.js, Java, Python ou outra linguagem sem PHP não é afetado por esses dois CVEs. Os outros runtimes publicam as próprias correções de segurança, então mantenha-os atualizados pelos alertas de cada um, e lembre que um mesmo servidor pode rodar mais de uma linguagem.

Por que o nome é PHP2Shell?

PHP2Shell é o nome usado na análise original da Wiz Research. Ele descreve o pior cenário: uma requisição a um site em PHP poderia terminar com um atacante executando comandos (um shell) no servidor. Os títulos oficiais dos alertas são “RCE via OOM corruption” e “RCE via stale global state”.

O que devo fazer agora?

1. Verifique o seu PHP com o verificador PHP2Shell.
2. Atualize seguindo o guia do patch do PHP2Shell.
3. Se você atualizou tarde, siga o guia como saber se o seu site foi invadido.

Quais fontes sustentam esta página?

• The PHP Group: RCE via OOM corruption
• The PHP Group: RCE via stale global state
• The PHP Group: aviso de segurança
• Wiz Research: pesquisa original
• Cloudflare: proteções de WAF
• Sansec: pesquisa sobre o PHP2Shell
• Rapid7: wp2shell, uma vulnerabilidade diferente no núcleo do WordPress