Os desenvolvedores da linguagem PHP lançaram atualizações de segurança urgentes para corrigir duas vulnerabilidades altamente graves conhecidas como PHP2Shell, que concedem aos invasores a capacidade de executar código malicioso remotamente (Remote Code Execution) sem a necessidade de autenticação prévia, em meio ao registro de ataques reais que tentam explorá-las na rede mundial de computadores.
Detalhes das vulnerabilidades e pontos de risco no mecanismo do PHP
As duas falhas foram registradas sob os números CVE-2026-109618, resultante de corrupção de memória quando esgotada (Out-of-Memory Corruption), e CVE-2026-109619, relacionada a um estado global obsoleto e dessincronizado (Stale Global State), recebendo uma classificação de gravidade de 9.2 na escala CVSS. A Fundação PHP (PHP Foundation) confirmou que as duas falhas residem em mecanismos sensíveis pelos quais passa quase todas as solicitações dentro do mecanismo, que são o gerenciamento de memória e o tratamento de erros de programação, tornando seu impacto amplo e sua remediação extremamente complexa.
A fundação esclareceu que todos os servidores PHP que lidam com solicitações da web estão vulneráveis, incluindo servidores Apache via mod_php, ambientes PHP-FPM, php-cgi, FrankenPHP, além do LiteSpeed. O problema também se estende à leitura do espaço de memória de processos, o que pode expor chaves de API, senhas e dados sensíveis armazenados em cache.
Vazamento antecipado e ataques que antecedem o patch
O anúncio coordenado das vulnerabilidades estava planejado para 22 de outubro, mas um vazamento não intencional de detalhes e trechos de prova de conceito (PoC) na internet levou a equipe a antecipar a data de correção. Durante as horas que antecederam a atualização pública, entidades de segurança, incluindo WatchTowr, Patchstack, Cloudflare e Hadrian, registraram tentativas extensas de exploração visando principalmente o caminho de rastreamento de upload de sessões (session upload-progress) no PHP.
As atualizações acompanhadas pelas soluções abrangeram as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, além de patches retroativos limitados do código-fonte para versões mais antigas, como PHP 7.4, 8.0 e 8.1, visto que a raiz da falha remonta historicamente a versões que datam do PHP 5.4.
O papel dos modelos de inteligência artificial na descoberta
A empresa de segurança em computação em nuvem Wiz, em cooperação com a OpenAI e com os Calif Labs, descobriu as vulnerabilidades no mês de agosto. Embora a falha inicial associada ao esgotamento de memória tenha sido detectada pela primeira vez em 2020 e redescuberta em 2024, ela não foi classificada como um perigo iminente devido à falta de comprovação de sua explotabilidade programática na época. No entanto, o uso de modelos avançados de inteligência artificial permitiu que os pesquisadores montassem cadeias de exploração altamente complexas que transformaram a fragilidade de memória em execução remota de comandos.
Por que esse desenvolvimento importa e qual é o seu impacto?
O PHP executa aproximadamente 70% dos sites em todo o mundo e depende de plataformas populares de gerenciamento de conteúdo como WordPress, Drupal e MediaWiki (que alimenta a Wikipédia). A presença de uma falha no mecanismo principal da linguagem significa que milhões de sites tornam-se vulneráveis a invasões, mesmo que os aplicativos de software instalados sobre eles estejam totalmente seguros e livres de erros, o que impõe aos administradores de sistemas e equipes de operações a aplicação imediata das atualizações e a verificação dos logs dos servidores para garantir que não tenham sofrido invasões preventivas.