PHP2Shell: as duas falhas críticas que puseram a web em alerta
Duas vulnerabilidades com nota 9.2 permitem rodar comandos em servidores PHP sem login. Veja quem está em risco, as versões corrigidas e o que fazer agora.
Tech LoboPublicado em 7 min de leitura
Na tarde desta quarta-feira, 21 de outubro de 2026, o time de segurança do PHP publicou o tipo de aviso que nenhum administrador de servidor quer ler: duas vulnerabilidades críticas, ambas com nota 9.2 de 10 na escala CVSS v4.0, permitem execução remota de código sem autenticação. Ou seja: um invasor pode rodar comandos no servidor sem precisar de login, senha ou qualquer interação com a aplicação.
As falhas receberam os identificadores CVE-2026-109618 e CVE-2026-109619, e já circulam pela comunidade sob o apelido informal de PHP2Shell. As correções saíram nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
O recado do projeto é curto e direto: não existe mitigação completa. Atualizar é a única saída segura.
O que exatamente quebrou
As duas falhas não estão no código que você escreve, estão no funcionamento interno do próprio interpretador. É por isso que elas são tão perigosas: nenhuma boa prática de programação na sua aplicação protege contra elas.
CVE-2026-109618 — corrupção durante esgotamento de memória (OOM). Quando o PHP fica sem memória no meio do processamento de uma requisição, ele pode ser interrompido enquanto estruturas internas ainda estão parcialmente inicializadas. Na etapa de limpeza, esses dados incompletos podem ser tratados como se fossem válidos e é aí que mora a brecha para execução de código.
CVE-2026-109619 — estado global obsoleto. Informações internas pertencentes a uma requisição podem sobreviver na memória depois que essa memória já foi liberada. Uma requisição seguinte, atendida pelo mesmo worker do servidor, pode acabar reutilizando esse estado antigo antes que a inicialização normal o substitua.
Resumindo em linguagem de bar: uma falha é o PHP tropeçando ao ficar sem memória, e a outra é o PHP reaproveitando lixo de uma requisição anterior.
Quem está na linha de tiro
Segundo o comunicado oficial, toda instalação de PHP que atende requisições web está em risco isso inclui PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
O risco mais alto é o do mod_php, e por um motivo específico: existe um exploit demonstrado em que uma requisição não autenticada dispara o ataque antes mesmo de qualquer código da aplicação rodar. Não importa o framework, não importa o plugin, não importa a validação de entrada.
E aqui vai o ponto que mais pega sites de WordPress, Joomla, Magento e afins: seu CMS pode estar impecavelmente atualizado e você continuar vulnerável. Núcleo em dia, temas em dia, plugins em dia se o servidor roda uma versão do PHP sem a correção, a porta segue aberta. A atualização que importa aqui não está no painel do seu site; está na infraestrutura.
Alguns links disponíveis neste site podem ser links de afiliados. Isso significa que podemos receber uma comissão caso você realize uma compra através deles, sem custo adicional para você. Os preços e condições apresentados podem sofrer alterações pelos marketplaces. Consulte o preço final e as condições diretamente no site da loja antes de realizar a compra.
