O projeto PHP lançou na quarta-feira (21) correções de emergência para duas vulnerabilidades críticas no núcleo da linguagem, conhecidas como PHP2Shell. Ambas permitem execução remota de código sem autenticação e têm nota 9,2 de 10 no CVSS v4.0. Quem mantém site ou servidor com PHP precisa atualizar agora.
Sumário
O que as falhas permitem
A CVE-2026-109618 explora uma corrupção de memória quando o PHP fica sem memória (OOM) ao processar uma requisição multipart/form-data. O código aborta com dados parcialmente inicializados e a limpeza posterior trata lixo como se fosse válido. A Sansec também aponta vazamento de memória pelo cookie de sessão, o que poderia expor senhas e tokens.
A CVE-2026-109619 é um use-after-free entre requisições atendidas pelo mesmo processo. Foi confirmada contra Apache com mod_php e contra PHP-FPM.
Versões corrigidas e quem está em risco
As versões seguras são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Qualquer versão anterior dessas linhas está vulnerável. Segundo o Google Cloud e a Sansec, o código problemático existe desde o PHP 5.4, mas o projeto não confirma oficialmente o alcance anterior ao 8.2.
Linhas fora de suporte (8.1 e anteriores) não recebem correção oficial completa. O time do PHP publicou apenas backports mínimos de código-fonte para 7.4, 8.0 e 8.1, o que obriga hospedagens e empresas nessas versões a migrar ou compilar por conta própria. O PHP 8.2 sai de suporte em 31 de dezembro.
PHP-FPM, mod_php, php-cgi, FrankenPHP e LiteSpeed são afetados. O risco é maior no mod_php, em que o exploit demonstrado dispara antes de qualquer código da aplicação rodar.
Ataques já foram registrados
Os detalhes vazaram em 20 de outubro e a Cloudflare detectou tentativas de ataque horas antes do patch. Há prova de conceito pública, mas até 21 de outubro a falha não constava no catálogo KEV da CISA e não havia comprometimento bem-sucedido confirmado. Estimativas citadas pela imprensa falam em cerca de 1,3 milhão de servidores expostos.
O próprio PHP é direto: não há mitigação completa, e atualizar é a única escolha segura. Medidas parciais, como desativar session.upload_progress.enabled ou bloquear multipart/form-data no proxy, apenas reduzem a superfície de ataque.
O que fazer
Verifique a versão com php -v e instale o pacote atualizado da sua distribuição. Em hospedagem compartilhada, cobre do provedor a confirmação da atualização. Alguns repositórios de terceiros ainda não tinham pacote novo no dia do lançamento, então vale checar de novo nas próximas horas.
Fontes: Neowin, PHP.net, Sansec.
