PHP2Shell: uma falha crítica no próprio PHP (CVE-2026-109618, CVE-2026-109619)
Em 21 de outubro, o projeto PHP lançou uma atualização fora do ciclo: dois bugs no próprio interpretador podem, em alguns cenários, permitir que um invasor execute código no servidor sem fazer login. Gravidade 9,2 de 10, e já existem exploits públicos.
Verificado no Shield: sim
Quem é afetado
Qualquer site com PHP anterior à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12: WordPress, Joomla, Drupal, Laravel e códigos personalizados. As versões 8.1 e anteriores não recebem correção oficial. O WordPress em si não precisa de atualização, a correção está no PHP. O risco é maior no Apache com mod_php e menor no PHP-FPM.
Como verificar
A versão do PHP aparece no painel da hospedagem ou com php -v. Por fora, só é visível se o próprio site a expõe nos cabeçalhos X-Powered-By ou Server.
Como corrigir
Atualize o PHP para a versão corrigida da sua branch e reinicie o PHP-FPM ou o Apache. Se não puder fazer isso agora, desative session.upload_progress.enabled: isso fecha um caminho de ataque, não todos.
O que o Shield verifica grátis
Se a versão do PHP estiver visível nos cabeçalhos e for anterior à corrigida, o Shield informa um achado crítico com links para os CVEs. Se a versão estiver oculta (o que é uma boa prática), não dá para verificar por fora: o Shield vai orientar você a consultar sua hospedagem.
Bom saber
Amazon e watchTowr relatam tentativas de exploração antes de o patch ser público. Atualizamos nossos próprios servidores em 22 de outubro.
