Em 21 de outubro de 2026, o projeto PHP publicou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que corrigem duas vulnerabilidades críticas capazes de permitir a execução remota de código sem autenticação. A liberação tinha sido anunciada na véspera, para as 11h de Brasília (14h UTC), e o PHP pede que todos atualizem imediatamente. As falhas são a CVE-2026-109618, no tratamento de falta de memória, que deixa dados internos da requisição em estado inválido, e a CVE-2026-109619, em que o estado interno de uma requisição sobrevive depois que a memória foi liberada e pode ser usado pela requisição seguinte no mesmo processo. As duas têm nota 9,2 (CVSS v4.0), e o conjunto ficou conhecido como PHP2Shell.
Segundo o PHP, estão em risco todas as instalações que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Na prática, isso inclui sites em WordPress, lojas virtuais, áreas de cliente e sistemas internos com painel web feitos em PHP. O risco é considerado maior no Apache com mod_php, onde foi demonstrado um ataque que roda antes de qualquer código da aplicação. Pesquisadores da Wiz demonstraram execução de código sem login contra WordPress, Drupal e Joomla, mas o problema está no PHP, não nesses sistemas: atualizar o WordPress e os plugins não resolve. É preciso atualizar o PHP do servidor ou da hospedagem.
O que fazer agora
- Descobrir quais sites e sistemas usam PHP e quem administra o servidor ou a hospedagem de cada um.
- Atualizar o PHP para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou aplicar o pacote corrigido da distribuição Linux ou da hospedagem.
- Se a versão for 8.1 ou anterior, que não recebe mais atualizações do projeto, falar com o fornecedor sobre uma correção (algumas distribuições têm a sua, como o Ubuntu, inclusive para versões antigas via Ubuntu Pro) ou planejar a migração para uma versão suportada.
- Enquanto não atualizar, restringir o acesso a painéis administrativos e avaliar tirar do ar o que estiver exposto, como orienta o NCSC do Reino Unido. As medidas paliativas listadas pelo PHP reduzem a exposição, mas não tornam a instalação segura.
- Depois de atualizar, conferir a versão em uso e revisar logs e arquivos alterados recentemente.
A Cloudflare informou que já via tentativas de ataque antes da publicação e ativou regras de firewall (WAF) que protegem por padrão os sites atrás dela, inclusive no plano gratuito, e a watchTowr classifica a exploração como em curso. A própria Cloudflare diz que a proteção é temporária e não substitui a atualização do PHP. Ela também não alcança acessos feitos direto ao IP do servidor.
Se você não sabe qual versão do PHP os seus sites e sistemas usam, a equipe da TechPartners BR pode verificar com você. Fale com a gente pelo WhatsApp ou telefone (11) 4118-1992 ou pelo e-mail contato@techpartnersbr.com.
Fontes
- PHP — Security advisory, 21/10/2026
- GitHub php-src — GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
- GitHub php-src — GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
- Cloudflare — proteções contra o php2shell
- watchTowr — PHP2Shell FAQ
- Ubuntu — USN-8936-1
- Olhar Digital, 21/10/2026
O que a equipe pode fazer daqui
A TechPartners BR atende o dia a dia de TI das empresas pelo suporte e pode verificar com você quais sites e sistemas precisam de atualização.