N環球 
"PHP2Shell": PHP envia patches de emergência para duas falhas críticas do CVSS-9.2, permitindo execução remota de código não autenticado
O PHP lançou atualizações de emergência em 21 de outubro, corrigindo duas falhas críticas apelidadas coletivamente de PHP2Shell (CVE-2026-109618, CVE-2026-109619), encontradas por pesquisadores da Wiz, Califórnia e OpenAI. Os detalhes vazaram antes da divulgação coordenada, e a Cloudflare observou ataques reais antes do lançamento do patch. Cada instalação do PHP que atende solicitações da web é afetada.
Por que isso importa
Esta é uma das vulnerabilidades da web mais graves dos últimos anos. O PHP está presente em uma grande parte dos sites do mundo (WordPress, Drupal, Joomla) e, desta vez, a falha está no próprio mecanismo da linguagem – mesmo um site perfeitamente escrito não oferece proteção. Um invasor não precisa de uma conta; uma única solicitação pode gerar a execução de código no servidor.
É também a ilustração mais nítida do duplo papel da IA na investigação de segurança: Wiz diz que as falhas estavam à espreita há décadas e que a demonstração da explorabilidade exigia uma cadeia “no limite daquilo que os investigadores humanos poderiam alcançar na prática”. Os modelos Frontier AI reduziram substancialmente essa barreira, transformando uma falha de longa data em uma exploração funcional.
Relatório completo
A equipe de segurança do PHP lançou atualizações de emergência em 21 de outubro, corrigindo CVE-2026-109618 e CVE-2026-109619, ambos classificados como CVSS v4.0 9.2 e chamados coletivamente de PHP2Shell. Ambos resultam de um estado de memória corrompido quando uma solicitação termina de forma anormal e ambos podem ser explorados por invasores não autenticados para obter execução remota de código.
Todas as instalações de PHP que atendem a solicitações da web são afetadas, incluindo PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. A equipe diz que o risco é maior para o mod_php, onde uma exploração demonstrada é acionada antes da execução de qualquer código do aplicativo. Uma falha pode até permitir que um invasor leia a memória do trabalhador que contém senhas, tokens e chaves de API de outras solicitações.
As falhas foram encontradas por pesquisadores da Wiz, Califórnia, OpenAI (parceiro do programa Patch the Planet) e Quarkslab. Detalhes técnicos vazaram em 20 de outubro, antes da divulgação coordenada planejada, levando o PHP a ser lançado um dia antes. A Cloudflare disse que observou tráfego de ataque contra seus clientes antes do lançamento do patch e ativou as regras do WAF em 21 de outubro. Vários sites holandeses e japoneses (incluindo o serviço DigiD holandês e o site da Câmara dos Representantes) ficaram offline por precaução.
Os administradores são incentivados a atualizar para o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 imediatamente; PHP 7 e anteriores não recebem mais atualizações oficiais.
💬 Comments
No comments yet. Be the first!