Detalhes de duas vulnerabilidades de segurança críticas na linguagem de programação PHP vazaram na internet, coincidindo com os preparativos para divulgá-las dentro do cronograma de divulgação coordenada e antes que as atualizações oficiais estivessem totalmente disponíveis para os usuários. As duas falhas possuem os identificadores CVE-2026-109618 e CVE-2026-109619, sendo que ambas apresentam um nível de gravidade extremamente alto de 9.2 na escala CVSS, o que as torna vulneráveis a uma possível exploração sem a necessidade de autenticação, de acordo com alertas da Agência de Cibersegurança Europeia (CERT-EU).
Relatórios técnicos apelidaram essas vulnerabilidades de PHP2Shell, indicando a capacidade potencial de os invasores as explorarem para obter privilégios de execução de comandos (Shell) nos servidores comprometidos. Estimativas iniciais indicam que todas as versões do PHP a partir da versão 5 (PHP 5) em diante podem ser afetadas por essas falhas de software.
Preparativos de emergência e confirmações de empresas de segurança
Após o vazamento, o PHP agiu rapidamente para emitir alertas exigindo que todos os usuários se preparem para aplicar as atualizações assim que estiverem disponíveis, com a possibilidade de lançar correções antecipadamente caso surjam evidências de exploração das vulnerabilidades em ambientes de produção. Por sua vez, a empresa de gerenciamento de exposição preventiva (WatchTowr) confirmou que conseguiu reproduzir com sucesso a vulnerabilidade CVE-2026-109618, limitando-se a confirmar a existência real da falha sem publicar os detalhes técnicos exatos por motivos de segurança.
Embora nenhum ataque ativo imediato tenha sido detectado pelas empresas WatchTowr eHuntress inicialmente, a empresa de cibersegurança (Sansec) alertou sobre a probabilidade de o início de tentativas de exploração em massa ocorrer em poucos minutos após o lançamento das correções. Posteriormente, o PHP lançou as atualizações necessárias, ao mesmo tempo em que empresas de cibersegurança detectaram tentativas reais de exploração, algumas das quais foram registradas mesmo antes de as correções chegarem aos servidores visados.
Por que esta notícia é importante?
Este desenvolvimento representa um grave perigo, dado que a PHP é considerada a espinha dorsal de uma proporção massiva de sites e servidores em todo o mundo. Vulnerabilidades de execução remota de código (RCE) que não exigem autenticação permitem que os invasores assumam o controle total da infraestrutura comprometida. O evento também destaca os desafios contínuos no gerenciamento de vulnerabilidades quando detalhes técnicos vazam publicamente antes que as correções estejam disponíveis, o que coloca uma enorme pressão sobre as equipes de segurança para aplicar atualizações em tempo recorde a fim de evitar ataques automatizados em larga escala.