PHP prepara dois patches de emergência após vazamento de falha crítica

O que aconteceu

O time de segurança do PHP, linguagem de programação usada para construir boa parte dos sites da internet, anunciou que vai lançar dois patches de emergência para corrigir falhas críticas catalogadas como CVE-2026-109618 e CVE-2026-109619. Ambas receberam nota 9.2 (de 10) na escala CVSS, usada para medir a gravidade de vulnerabilidades, e são do tipo execução remota de código (RCE) — ou seja, permitem que um invasor rode comandos no servidor sem precisar de senha ou login.

O lançamento das correções estava previsto para esta quarta-feira (21), por volta das 11h no horário de Brasília, mas o próprio time do PHP avisou que poderia antecipar o patch se detalhes técnicos vazassem ainda mais ou se houvesse sinais de ataques em andamento.

O caso ganhou urgência depois que informações sobre as falhas escaparam do processo de divulgação coordenada — o procedimento em que falhas são corrigidas antes de serem reveladas publicamente. Nesse vazamento, surgiu a menção a uma ferramenta chamada PHP2Shell, que supostamente executaria código remotamente em sites que usam PHP. É importante deixar claro: esse relato específico sobre o PHP2Shell não foi confirmado publicamente até o momento, e nenhuma prova de conceito funcional foi divulgada. A empresa de segurança watchTowr afirmou ter reproduzido uma das duas falhas (a CVE-2026-109618) em testes controlados, confirmando que o problema é real, mas sem publicar os detalhes técnicos. Outra empresa de segurança, a Huntress, disse não ter identificado ataques em andamento até a publicação do alerta.

Quem é afetado

Como o PHP está por trás de uma fatia enorme dos sites do mundo, o impacto potencial é amplo. Entre as plataformas citadas como possivelmente vulneráveis estão sistemas de gerenciamento de conteúdo e frameworks populares como WordPress, Joomla, Drupal e Magento, além de painéis de hospedagem compartilhada. As versões exatas do PHP afetadas não foram confirmadas oficialmente — relatos não oficiais mencionam um alcance amplo, da versão 5 à 8, mas isso ainda não consta do aviso oficial do time de segurança do PHP.

O que fazer agora

Se você administra um site ou sistema feito em PHP, veja o que fazer nas próximas horas:

Identifique quem na sua equipe (ou fornecedor de hospedagem) é responsável por atualizar o PHP;
Faça um levantamento de todos os sites, sistemas e plugins que rodam em PHP;
Tire um backup completo de arquivos e banco de dados antes de qualquer atualização;
Reserve uma janela de manutenção para aplicar o patch assim que ele for liberado oficialmente;
Acompanhe o canal oficial de segurança do PHP (php.net) em vez de confiar apenas em prints ou vídeos que circulam em redes sociais sobre o exploit;
Depois de atualizar, monitore os logs do servidor por atividade incomum nos dias seguintes.

Até a confirmação oficial, vale manter um pé atrás com qualquer informação não verificada sobre o funcionamento do PHP2Shell — mas tratar a atualização do PHP como prioridade, já que a gravidade da falha (RCE) foi confirmada por mais de uma fonte de segurança independente.

Atualização (21/10, 12:54): Os patches que estavam em preparação já foram lançados: na quarta-feira (21/10), a equipe do PHP publicou as versões corrigidas 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que resolvem as duas falhas críticas identificadas como CVE-2026-109618 e CVE-2026-109619, ambas com nota de gravidade 9,2 em 10 na escala CVSS v4.0. As vulnerabilidades permitem execução remota de código sem autenticação: a primeira ocorre por corrupção de memória após esgotamento de memória (OOM), e a segunda por um estado global que permanece na memória após o fim de uma requisição.

A escala do alerta é real: 69,3% dos sites que usam linguagens server-side dependem do PHP, e o WordPress — que roda sobre PHP — está presente em mais de 43% das páginas da internet. Como medida preventiva, sites governamentais na Holanda, Finlândia e França, além de sistemas do Porto de Roterdã e de hospitais, foram tirados do ar temporariamente. A equipe do PHP recomenda atualização imediata; versões legadas (PHP 8.1 ou anteriores) não recebem correção oficial e exigem patches de fornecedores terceiros ou migração.

Atualização (21/10, 15:48): Atualização: as duas falhas críticas do PHP — agora batizadas de "PHP2Shell" e catalogadas como CVE-2026-109618 e CVE-2026-109619, ambas com nota 9.2 na escala CVSS v4.0 — foram descobertas com ajuda de inteligência artificial antes de vazarem publicamente. A Wiz Research, braço de segurança do Google Cloud, identificou a primeira falha em 19 de agosto de 2026 usando suas próprias ferramentas de IA (Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol), reportando o problema à equipe de segurança do PHP cinco dias depois. Paralelamente, o pesquisador Ryan Austin, da empresa Calif, encontrou a outra vulnerabilidade com o auxílio do modelo GPT-5.6 Sol, da OpenAI, durante uma auditoria do código-fonte do PHP financiada pela iniciativa "Patch the Planet" da própria OpenAI.

As falhas afetam praticamente todas as versões do PHP a partir da 5.4, atingindo cerca de 70% dos sites do mundo. A CVE-2026-109618, em especial, tem um componente ao estilo Heartbleed: o tratamento de erros de memória esgotada no handler session.upload_progress pode vazar memória de outras requisições — incluindo senhas, tokens de sessão, chaves de API e chaves privadas TLS — dentro do cookie PHPSESSID retornado ao cliente.

Após a divulgação coordenada e o lançamento dos patches em 21 de outubro (PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35), pesquisadores da Wiz e da comunidade de segurança alertam que a própria IA que ajudou a encontrar e conter o problema agora é o que preocupa: segundo a Wiz, modelos de linguagem podem adaptar rapidamente exploits para diferentes versões, configurações e layouts de memória do PHP, reduzindo a barreira técnica que antes dificultava ataques em larga escala. A Cloudflare já registrou tráfego de tentativas de exploração contra clientes, com invasores ajustando o payload para tentar driblar as regras de proteção da empresa.

Atualização (21/10, 18:50): As duas falhas críticas do PHP que vinham sendo tratadas as pressas pela equipe da linguagem já estão causando estragos reais. Na quarta-feira (21), as vulnerabilidades — descobertas com apoio de inteligência artificial pela Wiz Research e batizadas de PHP2Shell (CVE-2026-109618 e CVE-2026-109619) — tiraram do ar ou forçaram para modo de manutenção uma lista de sites de grande tráfego. O fórum 4chan ficou temporariamente somente leitura "enquanto aguardamos uma atualização urgente de segurança do PHP", o Something Awful suspendeu seus fóruns, a DeviantArt saiu do ar "para manutenção" sem detalhar o motivo, e partes da infraestrutura da Wikimedia Foundation (que mantém a Wikipedia) também ficaram indisponíveis, assim como serviços como Pinboard e a enciclopédia de esports Liquipedia.

Segundo a Wiz, as falhas afetam versões do PHP desde a 5.4 até a 8, o que coloca em risco cerca de 70% dos sites da internet que rodam a linguagem. A equipe do PHP lançou a correção por volta das 13h45 UTC de quarta-feira, mas cada site ainda precisa aplicar o patch manualmente — o que explica por que diversas plataformas optaram por sair do ar preventivamente. Agências de segurança cibernética na Europa, Reino Unido, Austrália e Japão orientaram administradores a atualizar imediatamente ou tirar os sistemas do ar até que a correção seja instalada.

Atualização (21/10, 21:43): Atualização: a falha crítica no PHP (apelidada de "php2shell") já teve efeito prático: mais de cem organizações na Holanda tiraram seus sites do ar por precaução em 21 de outubro, incluindo os serviços públicos DigiD, MijnOverheid e Overheid.nl, além de prefeituras, hospitais, universidades, operadoras de transporte e clubes de futebol. Segundo a Logius (responsável pelo DigiD), a medida foi preventiva — não houve confirmação de invasão — mas evidencia o tamanho do risco de uma vulnerabilidade que afeta cerca de 70% dos sites do mundo rodando PHP.

A Cloudflare ativou regras de firewall (WAF) de forma automática para todos os clientes, inclusive do plano gratuito, a partir das 3h02 UTC do dia 21/10 — cerca de 9 horas antes da divulgação pública da falha — usando uma nova técnica de "detecção de transação completa" para bloquear tentativas de exploração. A empresa já registrou tentativas iniciais de ataque, mas reforça que as regras do WAF são apenas um "paliativo" e não substituem a correção definitiva nos servidores.

Os patches de emergência já foram lançados nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, corrigindo as falhas CVE-2026-109618 e CVE-2026-109619 (CVSS 9.2). A atualização, porém, depende de cada administrador de servidor aplicar manualmente o patch via seu provedor de hospedagem ou distribuição Linux — o próprio time do PHP alerta que não há mitigação completa sem a atualização, e estima-se que a adoção ainda seja lenta, já que boa parte dos sites WordPress, por exemplo, costuma rodar versões desatualizadas.

Atualização (22/10, 03:55): Atualização (22/10): A falha de PHP já batizada pela comunidade de segurança como "PHP2Shell" ganhou identificação oficial: CVE-2026-109618 e CVE-2026-109619, ambas com nota de severidade 9,2 em 10. A primeira permite execução remota de código por corrupção de memória; a segunda, por um estado interno do servidor que fica desatualizado entre requisições no mesmo processo. A vulnerabilidade existe na estrutura do PHP há mais de uma década, mas só se tornou praticamente explorável depois que pesquisadores usaram modelos de inteligência artificial — citados como GPT-5.6 Sol pelo Olhar Digital, e ferramentas próprias da Wiz, segundo a Canaltech — para reduzir a semanas um trabalho de engenharia reversa que antes levaria meses. Os patches de emergência já saíram: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A recomendação para empresas que rodam aplicações em PHP é mapear todas as instalações, priorizar atualização dos serviços expostos à internet e monitorar sinais de invasão em sistemas que ainda não foram corrigidos.