Pesquisadores de segurança anunciaram a descoberta de duas falhas críticas no motor da linguagem de programação PHP, que, segundo relatórios da empresa de pesquisa Wiz, formam a base de cerca de 70% dos sites em todo o mundo. As vulnerabilidades foram monitoradas sob os identificadores CVE-2026-109618 e CVE-2026-109619, sendo conhecidas coletivamente como PHP2Shell, e receberam uma classificação de gravidade de 9,2 na escala CVSS v4.0.
A empresa Calif.io conseguiu descobrir uma das falhas usando o modelo GPT-5.6 Sol da OpenAI, enquanto a Wiz descobriu independentemente ambas as vulnerabilidades usando a ferramenta Wiz Atlas em cooperação com o modelo Gemini 4 Argon do Google e o modelo GPT-5.6 Sol. Relatórios da Cloudflare também apontaram a participação de outras entidades de segurança, como a Quarkslab, na detecção dessas falhas de programação que existiram por mais de uma década em várias versões do PHP.
Falhas de segurança ocultas há uma década
As raízes do problema remontam à forma como o motor PHP lida com erros; quando a solicitação de um programa falha ou fica sem memória disponível, o motor pode deixar para trás referências a memória que foi liberada anteriormente (Use-After-Free). A solicitação subsequente tratada pelo mesmo worker pode processar essas referências como se fossem válidas.
A pesquisa provou que os invasores podem explorar esse comportamento, juntamente com falhas de type confusion, para acessar dados confidenciais ou executar código malicioso remotamente em plataformas populares como WordPress, Drupal e Joomla, sem a necessidade de login. Os pesquisadores confirmaram que alguns códigos afetados datam da versão PHP 5.4, e essas falhas permaneceram ocultas durante todos esses anos devido à dificuldade de combinar múltiplos pontos fracos para criar um ataque bem-sucedido — o papel crucial desempenhado pela inteligência artificial na aceleração do processo de descoberta em poucos dias.
Velocidade de resposta e lançamento de correções
O processo de correção começou após a Wiz descobrir a primeira vulnerabilidade em 19 de agosto e confirmar sua capacidade de executar código no Drupal e, em seguida, no WordPress nos dias seguintes. A equipe de segurança do PHP foi formalmente notificada em 24 de agosto, e as versões de correção foram lançadas em 21 de outubro, após uma coordenação intensiva que envolveu grandes empresas como Cloudflare, Google Cloud, AWS, Microsoft e Akamai.
O que muda na prática para desenvolvedores e administradores de sistemas?
O PHP lançou as versões seguras para as quais as equipes de desenvolvimento e administradores de sistemas devem atualizar seus servidores imediatamente: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Caso dependam de distribuições Linux ou de provedores de hospedagem gerenciada, recomenda-se consultar os fornecedores para verificar a aplicação de atualizações retroativas (Backporting).
Além disso, a OpenAI propôs uma estrutura proativa de cinco estágios para lidar com vulnerabilidades descobertas por IA, que passa pela verificação, testes avançados por meio de modelos, distribuição gradual de dados para distribuidores e prestadores de serviços, até chegar a agências governamentais e infraestruturas críticas. A empresa também forneceu uma ferramenta para verificar versões do PHP localmente a fim de confirmar a presença das versões vulneráveis, alertando que ferramentas de proteção como firewalls de aplicativos web (WAF) representam apenas uma camada temporária de defesa e não substituem de forma alguma a atualização real do código nos servidores.