Em meados de agosto, pesquisadores de segurança identificaram falhas críticas de execução remota de código (RCE) no núcleo do PHP, um conjunto de vulnerabilidades que ficou conhecido como PHP2Shell. O problema afeta instalações do PHP que atendem a requisições web, permitindo teoricamente que invasores não autenticados executassem comandos arbitrários diretamente nos servidores afetados.
O que aconteceu e como o problema foi descoberto
A descoberta inicial ocorreu em agosto, envolvendo equipes de pesquisa de segurança de empresas como Wiz e Calif. Utilizando ferramentas avançadas de IA, os pesquisadores mapearam vulnerabilidades presentes no código-base do PHP. As falhas foram formalmente rastreadas sob os identificadores CVE-2026-109618 e CVE-2026-109619, ambas classificadas com pontuação CVSS v4.0 de 9.2 (Risco Crítico).
O vetor principal relatado envolve o mecanismo de progresso de upload de sessões do PHP (session.upload_progress.enabled), que vem habilitado por padrão. A falha técnica principal opera por meio de corrupção de memória (como um heap use-after-free) no núcleo do PHP, permitindo que requisições cuidadosamente estruturadas alcancem funções de execução de sistema.
Cronologia e vazamento antecipado
A gravidade do cenário aumentou quando detalhes e vídeos de demonstração de prova de conceito (PoC) vazaram online em fóruns e repositórios públicos, como o GitHub, antes de uma divulgação totalmente coordenada.
Com a repercussão pública e o avanço de códigos de exploração, a The PHP Foundation e equipes de segurança aceleraram a liberação de correções oficiais de forma emergencial para neutralizar as falhas na raiz do código do PHP. Organizações de segurança e agências governamentais, como a NSA, emitiram alertas sobre o risco potencial para ambientes de hospedagem web.
Como mitigar e proteger os ambientes afetados
Para administradores de sistemas e equipes de infraestrutura que gerenciam servidores web baseados em PHP, algumas medidas técnicas ajudam a neutralizar o vetor de ataque enquanto atualizações definitivas são aplicadas:
- Desativar o progresso de upload de sessões: A diretiva
session.upload_progress.enabledpode ser desativada no arquivophp.iniou nas configurações de pool do PHP-FPM (como em/etc/php/fpm/pool.d/www.conf). Isso neutraliza o vetor de ataque conhecido sem prejudicar o funcionamento regular de uploads de arquivos. - Aplicar correções oficiais: A principal e mais definitiva defesa consiste em atualizar os binários do PHP para as versões corrigidas disponibilizadas pela The PHP Foundation.
- Endurecimento de servidores (Hardening): Desabilitar funções perigosas de execução no PHP (como
exec,shell_exec,systemepassthru) quando não utilizadas, além de aplicar limites rígidos de recursos e monitorar diretórios de upload, reduz drasticamente a superfície de ataque para quaisquer variantes de web shells.