Atualização de segurança importante: Entenda a vulnerabilidade PHP2Shell (CVE-2026-109618 e CVE-2026-109619)

Recentemente, a comunidade global de segurança cibernética identificou duas falhas críticas no núcleo do PHP. Registradas sob as CVEs CVE-2026-109618 e CVE-2026-109619, e apelidadas pelo mercado de PHP2Shell, as vulnerabilidades receberam uma pontuação de gravidade de 9,2 no sistema CVSS, exigindo atenção imediata para a atualização e manutenção de ambientes que rodam a linguagem.

Abaixo, detalhamos o comportamento técnico das falhas e as ações recomendadas de engenharia para a mitigação de riscos.

Análise técnica do vetor de ataque

As falhas foram descobertas por pesquisadores da Wiz Research com o auxílio de ferramentas de inteligência artificial. Elas estão localizadas em duas frentes principais do interpretador:

• Manipulação de uploads: Uma das vulnerabilidades ocorre no fluxo nativo de processamento e gerenciamento de arquivos enviados ao servidor.

• Gerenciamento de memória (OPcache e Backtrace): A segunda falha envolve cenários de corrupção de memória durante a execução de rotinas nessas funções específicas.

O principal risco associado a esse conjunto de falhas é a Execução Remota de Código (RCE). Um agente externo pode conseguir executar códigos arbitrários no servidor afetado sem a necessidade de privilégios de acesso ou qualquer tipo de autenticação prévia.

Como a falha reside diretamente no core do PHP, aplicações estruturadas sobre frameworks e CMSs populares (como Laravel, Symfony, WordPress, Magento e Drupal) ficam expostas caso o interpretador do servidor não receba os patches necessários.

Mitigação e planos de ação

O time oficial de desenvolvimento do PHP agiu rapidamente e já disponibilizou as versões corrigidas que neutralizam os vetores de ataque. Para garantir a conformidade e a segurança de ambientes tecnológicos, as boas práticas de engenharia recomendam o seguinte fluxo:

1. Atualização do interpretador PHP: Validar as instâncias ativas da linguagem e aplicar o patch migrando para as seguintes versões estáveis (ou superiores):

   • PHP 8.5.12

   • PHP 8.4.27

   • PHP 8.3.36

   • PHP 8.2.35

2. Validação em ambiente de homologação (Staging): Antes de realizar o deploy em produção, é indispensável rodar testes de regressão automatizados nas pipelines de CI/CD para checar a compatibilidade de bibliotecas e dependências de terceiros com as novas revisões.

3. Auditoria preventiva de logs: Como medida adicional de segurança, administradores de sistemas e equipes de SecOps devem inspecionar logs recentes de requisições de servidores web em busca de anomalias no comportamento de uploads ou estouros de pilha.

A descoberta do PHP2Shell reforça a importância de manutenções preventivas e do monitoramento constante de dependências no ciclo de vida do software. Mitigar vulnerabilidades no nível do interpretador da linguagem de forma ágil é um passo fundamental para garantir a resiliência e a integridade de qualquer infraestrutura digital moderna.

Mantenham seus ambientes mapeados e atualizados conforme as diretrizes oficiais de segurança.