Um WAF protege contra o PHP2Shell?
Um WAF reduz o risco, mas não corrige o PHP2Shell. O PHP2Shell (CVE-2026-109618 e CVE-2026-109619) está no runtime do PHP, e o anúncio do PHP diz que só a atualização é uma solução completa. As regras de WAF bloqueiam padrões de ataque conhecidos no tráfego que passa pelo WAF. Os atacantes já estão variando as requisições para contorná-las, e requisições que chegam ao seu servidor por outro caminho nunca são inspecionadas.
Quais WAFs têm regras para o PHP2Shell?
Estes provedores publicaram proteções contra o PHP2Shell. Tudo na tabela vem do próprio post de cada provedor, até 22 de outubro de 2026:
| Provedor | O que lançou | Você precisa agir? |
|---|---|---|
| Cloudflare | Sete regras gerenciadas emergenciais em 21/10, mais uma regra do lado da resposta (post) | Free: não. Pagos: confirme que o Managed Ruleset está em modo de bloqueio. Veja PHP2Shell e Cloudflare |
| AWS WAF | Orientações no boletim da AWS 2026-143: uma regra de tamanho de corpo para a CVE-2026-109618 e uma regra personalizada para a CVE-2026-109619; a AWS diz que vai atualizar seu grupo de regras gerenciadas de PHP | Sim: adicione as regras à sua web ACL |
| Fastly Next-Gen WAF | Uma regra modelo (virtual patch) que cobre as duas CVEs (post) | Sim: ative a regra modelo |
| Imperva | Cloud WAF protegido de fábrica; Elastic WAF 2.2.1 e WAF Gateway V14.7 / V15.5 LTS após atualizações (post) | Cloud WAF: não. Elastic WAF e WAF Gateway: aplique as atualizações |
| Tencent Cloud | WAF e Cloud Firewall oferecem proteção; o Host Security detecta (aviso) | Confira no console se a proteção está ativada |
O aviso de segurança da Alibaba Cloud (22 de outubro de 2026) orienta os clientes que usam o WAF ou o Cloud Firewall da Alibaba Cloud a manter a proteção ativada e diz que isso apenas reduz o risco e não substitui a atualização; o aviso não cita regras específicas. Não encontramos nenhum aviso oficial da Akamai sobre o PHP2Shell até 22 de outubro de 2026.
O que o AWS WAF recomenda contra o PHP2Shell?
A AWS lista dois controles compensatórios no boletim de segurança 2026-143-AWS:
- Para a CVE-2026-109618: a regra SizeRestrictions_BODY do Core rule set do AWS WAF, que bloqueia corpos de requisição acima de 8 KB (8.192 bytes).
- Para a CVE-2026-109619: uma regra personalizada que bloqueia requisições POST que tenham
PHP_SESSION_UPLOAD_PROGRESSno corpo junto comPHPSESSIDno corpo ou num cookie. O boletim traz o JSON da regra para copiar.
A AWS diz que nenhuma das duas é uma mitigação completa e que vai atualizar o grupo de regras gerenciadas de PHP do AWS WAF. Para atualizar o PHP em si, siga o guia de correção do PHP2Shell.
Por que um WAF sozinho não basta?
Há três motivos:
- Desvio: o WAF só vê o tráfego que passa por ele. Se o seu servidor aceita conexões diretas, um atacante que descobre o endereço IP passa longe do WAF.
- Variantes: a Cloudflare relatou atacantes alterando os payloads para escapar das regras antes de a correção sair. As regras pegam padrões conhecidos; variantes novas podem passar até as regras serem atualizadas.
- A falha continua lá: o PHP vulnerável segue no seu servidor, junto com qualquer outro caminho para chegar até ele.
O que devo fazer além do WAF?
Atualize o PHP para a versão corrigida do seu ramo:
| Ramo | Primeira versão corrigida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 e anteriores | Sem versão nova; patches oficiais de código-fonte para 7.4, 8.0 e 8.1 |
Confira a sua versão com o verificador PHP2Shell e siga o guia de correção do PHP2Shell. Até conseguir atualizar, combine o WAF com as medidas temporárias do próprio PHP descritas na mitigação da CVE-2026-109618 e procure sinais de invasão com o nosso checklist: um WAF ativado depois do vazamento não desfaz uma invasão anterior.
Um WAF pode substituir a atualização contra o PHP2Shell?
Não. Todos os provedores listados aqui chamam suas regras de controle compensatório, e o anúncio do PHP diz que só a atualização é uma solução completa. Use o WAF para ganhar tempo e atualize o PHP.
Essas regras de WAF podem quebrar meu site?
Podem. A regra de tamanho de corpo sugerida pela AWS bloqueia corpos de requisição acima de 8 KB, o que barra formulários grandes e uploads. Teste antes no modo de contagem ou de log, quando o seu provedor permitir, e acompanhe as requisições bloqueadas depois de passar para o modo de bloqueio.
Verifique se o seu PHP é afetado pelo PHP2Shell
Informe a versão que o seu site mostra. Comparamos com a primeira versão corrigida do mesmo ramo e dizemos o que fazer em seguida.
Verificador PHP2Shell →Fontes
Os fatos centrais desta página (versões corrigidas, detalhes dos CVEs, pacotes das distribuições e alertas de órgãos oficiais) vêm de fontes oficiais. Pesquisas, notícias e posts da comunidade estão identificados como tal.
- Cloudflare deploys protections against php2shell vulnerabilityProvedor de CDN Cloudflare
- WAF Release 2026-10-21 Emergency: Cloudflare Free RulesetFornecedor Cloudflare
- WAF Release 2026-10-21 Emergency: Cloudflare Managed RulesetFornecedor Cloudflare
- Security Bulletin 2026-143-AWS: PHP CVE-2026-109618 and CVE-2026-109619Fornecedor AWS
- Proactive protection for PHP2Shell (CVE-2026-109618 and CVE-2026-109619)Provedor de CDN Fastly
- PHP2Shell: When PHP Runs Out of Memory at the Wrong MomentFornecedor Imperva
- 【安全通告】PHP "php2shell" 远程代码执行漏洞风险通告（CVE-2026-109618, CVE-2026-109619）Fornecedor 腾讯云
- Security advisory: Critical remote code execution vulnerabilities, update nowOficial The PHP Group
- 【漏洞通告】PHP远程代码执行漏洞风险通告Fornecedor 阿里云安全团队（官网公告·安全公告）