O PHP foi afetado por duas vulnerabilidades críticas de execução de código remoto, conhecidas como PHP2Shell, divulgadas em 21 de outubro de 2026. As vulnerabilidades, rastreadas como CVE-2026-109618 e CVE-2026-109619, possuem uma pontuação de CVSS de 9.2 e afetam todas as versões do PHP que lidam com solicitações da web.
Mais de 2,6 milhões de ataques de exploração foram detectados, mas nenhum exploit bem-sucedido foi confirmado. A PHP lançou patches de emergência para essas vulnerabilidades. A exploração bem-sucedida pode ocorrer em sistemas ARM64 e x86 sem ASLR.
Detalhes Técnicos
As vulnerabilidades afetam o manejo de memória e o estado global do PHP.
CVE-2026-109618 envolve corrupção no manejo de memória que pode interromper o PHP durante a inicialização de dados de solicitação interna.
CVE-2026-109619 explora o estado global desatualizado, onde o estado interno pertencente à solicitação sobrevive após a liberação da memória.
Versões fixas incluem PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Ações Recomendadas
Aplique os patches de emergência o mais rápido possível.
Verifique se os sistemas estão atualizados com as versões fixas do PHP.
Monitore os logs de sistema para detectar possíveis tentativas de exploração.
