PHP2Shell: duas vulnerabilidades críticas no PHP e o que fazer agora
Atualizado em 21/10/2026, antes da publicação da correção.
O que aconteceu
O time de segurança do PHP anunciou em 20/10 uma atualização emergencial para corrigir duas vulnerabilidades críticas. As duas receberam nota 9,2 em 10 na escala de gravidade CVSS v4.0. A publicação está prevista para hoje, 21/10, às 11h (horário de Brasília).
O PHP é a linguagem por trás de boa parte dos sites e sistemas web, do WordPress a lojas virtuais e sistemas internos. Por isso, o alcance potencial do problema é grande.
O que se sabe até agora
O risco: segundo pesquisadores de segurança, as falhas permitem execução remota de código. Ou seja, um atacante pode executar comandos no servidor pela internet.
Detalhes ainda reservados: o PHP não divulgou o mecanismo das falhas, as versões afetadas nem as versões corrigidas. Tudo isso sai junto com a correção.
Identificadores: pesquisadores citam CVE-2026-109618 e CVE-2026-109619. O aviso oficial do PHP ainda não confirma esses números.
Exploração: até a manhã de 21/10, não havia registro de ataques explorando as falhas.
Por que a pressa: informações sobre as falhas vazaram antes da data combinada entre pesquisadores e o PHP. O anúncio oficial veio logo depois.
Versões com correção: só as versões com suporte (8.2, 8.3, 8.4 e 8.5) serão corrigidas. As versões 8.1 e anteriores estão fora de suporte e, se afetadas, não terão correção oficial.
Em 2024, quando outra falha grave do PHP (CVE-2024-4577) se tornou pública, tentativas de exploração foram observadas em menos de 24 horas. É prudente esperar o mesmo agora.
Quem pode ser afetado
Potencialmente, qualquer sistema que funcione sobre PHP:
sites em WordPress (incluindo lojas WooCommerce), Joomla e Drupal;
lojas em Magento e Adobe Commerce;
plataformas como Moodle e sistemas próprios em PHP (Laravel, Symfony e outros);
softwares e equipamentos de terceiros que trazem PHP embutido.
E o WordPress? O WordPress é escrito em PHP e, portanto, está potencialmente exposto. A correção, porém, é feita no servidor, com a atualização do PHP. Atualizar o WordPress, temas ou plugins não resolve este problema específico.
O que a Cloudflare já fez
Em 21/10, a Cloudflare publicou atualizações emergenciais do seu firewall de aplicações web (WAF):
quatro novas regras no conjunto de regras gerenciadas (Cloudflare Managed Ruleset), disponível a partir do plano Pro: duas bloqueiam as requisições suspeitas e duas apenas as registram;
duas novas regras de bloqueio no conjunto de regras gratuito (Cloudflare Free Ruleset), aplicado automaticamente a todos os planos, inclusive o gratuito.
As regras detectam padrões anômalos de execução. A Cloudflare não as associou publicamente às vulnerabilidades do PHP. Por isso, devem ser vistas como uma camada adicional de proteção, que não substitui a atualização.
Há também uma condição importante: a proteção só funciona se todo o tráfego do site passar pela Cloudflare. Se o servidor puder ser acessado diretamente pela internet, um atacante consegue contorná-la.
O que fazer agora
Descubra onde há PHP e em qual versão. Se o site está em uma hospedagem, pergunte ao provedor qual versão é usada e em quanto tempo a correção será aplicada.
Atualize assim que a correção for publicada, começando pelos sistemas acessíveis pela internet.
Versão 8.1 ou anterior? Planeje a migração para uma versão com suporte. Até lá, restrinja o acesso (por VPN ou WAF) ou retire o sistema da internet, se possível.
Usa Cloudflare? Confirme que o servidor do site aceita conexões apenas vindas da Cloudflare.
Fique atento a sinais de comprometimento, como arquivos desconhecidos no site, administradores que ninguém criou ou alterações inesperadas no conteúdo. Se notar algo assim, procure ajuda especializada antes de mexer no servidor, para preservar evidências.
Como a Leverage pode ajudar
A Leverage apoia empresas no levantamento dos sistemas que usam PHP, na interlocução com provedores de hospedagem, na configuração da Cloudflare e na investigação de sinais de comprometimento. Fale com a gente pelo (51) 2165-6512 ou pelo e-mail suporte@leverage.inf.br.
Comentários