A equipe de segurança da linguagem PHP emitiu atualizações de segurança emergenciais para resolver duas vulnerabilidades críticas de Execução Remota de Código (RCE), rastreadas sob a designação PHP2Shell. As vulnerabilidades possuem os identificadores CVE-2026-109618 e CVE-2026-109619, e permitem que invasores não autorizados assumam o controle dos servidores afetados.
Detalhes das vulnerabilidades e impacto
Essas vulnerabilidades foram descobertas por meio de esforços conjuntos de pesquisadores das empresas Calif, OpenAI e Wiz. A gravidade dessas vulnerabilidades reside no fato de afetarem todos os ambientes de execução do PHP que atendem a solicitações web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
A equipe de segurança do PHP explicou que o maior risco está nas configurações do mod_php, onde um invasor não autorizado pode executar um ataque antes que qualquer código específico do aplicativo seja iniciado. As duas vulnerabilidades decorrem de um problema fundamental relacionado a deixar a memória em um estado corrompido quando uma solicitação termina de forma anormal, abrindo caminho para a exploração na execução remota de código.
Ações necessárias para os administradores
Os administradores de sistemas devem atualizar imediatamente seus servidores para as seguintes versões seguras: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Para as versões mais antigas (7.4, 8.0, 8.1) que não recebem mais atualizações oficiais, a equipe do PHP forneceu patches (backports) para ajudar a proteger os sistemas que ainda dependem dessas versões.
Por que esta notícia é importante?
O PHP é a espinha dorsal de aproximadamente 75% a 80% dos sites em todo o mundo, incluindo plataformas populares como WordPress e Drupal. Dado que existem mais de 5 milhões de servidores PHP expostos à internet, a exploração dessas vulnerabilidades representa uma ameaça em larga escala. A Cloudflare confirmou que já detectou tentativas precoces de exploração dessas vulnerabilidades, o que levou o Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) a emitir um alerta urgente para as organizações sobre a necessidade de atualização imediata ou desconexão dos sistemas da rede.
Medidas de mitigação temporárias
Caso a atualização imediata não seja possível, a equipe de segurança do PHP forneceu algumas medidas de mitigação para reduzir as chances de exploração, incluindo:
- Para a vulnerabilidade CVE-2026-109618: Definir memory_limit como -1 e reduzir post_max_size para 8 megabytes (ou 32 megabytes quando necessário para upload de arquivos).
- Para a vulnerabilidade CVE-2026-109619: Definir session.upload_progress.enabled como 0 e, na versão 8.5, definir fatal_error_backtraces como 0 com a reinicialização dos workers.
Os desenvolvedores enfatizam que essas medidas não oferecem proteção completa e que a atualização oficial é o único meio de garantir a segurança do servidor de forma permanente.