Falhas críticas de PHP forçam sites governamentais offline antes de patch de emergência

O time de desenvolvimento do PHP agendou um lançamento de segurança fora do ciclo para as 14:00 UTC em 21 de outubro de 2026, para corrigir duas vulnerabilidades críticas depois que detalhes vazaram online um dia antes, segundo The Hacker News e a firma de segurança Sansec. As falhas foram rastreadas como CVE-2026-109618 e CVE-2026-109619 e foram informalmente apelidadas de "PHP2Shell" por pesquisadores, um nome que o próprio time do PHP não adotou, informou The Hacker News.

Quais são as vulnerabilidades

De acordo com o relatório técnico da Sansec, CVE-2026-109618 é um bug use-after-free na manipulação de progresso de upload do PHP que pode vazar memória do servidor — incluindo senhas, tokens de sessão e chaves privadas TLS — através do cookie PHPSESSID, de forma que a empresa comparou ao bug Heartbleed de 2014. CVE-2026-109619 é um use-after-free separado acionado quando um erro fatal ocorre durante esgotamento de memória, combinado com confusão de tipo no OPcache do PHP, que Sansec disse habilita a execução remota de código. Ambos os bugs são alcançados através de requisições multipart/form-data, o formato que páginas web usam para uploads de arquivo.

O Centro Nacional de Segurança Cibernética (NCSC) do Reino Unido descreveu o risco em seu aviso de 21 de outubro como permitindo um atacante "executar comandos em qualquer servidor web executando PHP" sem necessidade de fazer login, e classificou o problema como crítico.

Por que governos e plataformas ficaram offline

Como PHP está por trás de uma grande parte da web, várias organizações optaram por desligar sites públicos em vez de esperar pelo patch. A Techzine informou que serviços governamentais holandeses incluindo MijnOverheid, DigiD e sistemas parlamentares foram temporariamente desconectados, e a história da agência de notícias veiculada pela KSL disse que agências de segurança cibernética dos Países Baixos e Finlândia derrubaram sites governamentais como precaução. A Techzine também informou que o NCSC do Reino Unido e a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) emitiram alertas instando administradores a corrigir ou desabilitar sistemas afetados, enquanto Wikipedia e Meta continuaram funcionando aplicando runtimes PHP modificados e regras de firewall de aplicação web em vez de desconectar.

Sansec informou que o desenvolvedor principal do PHP Gina Peter Banyard descreveu desligar servidores antes da chegada do patch como a opção mais sensata para organizações incapazes de aplicar uma correção imediatamente — conselho que vários órgãos holandeses seguiram.

Cloudflare disse que começou a ver tentativas de exploração antes do lançamento do patch oficial. De acordo com o relatório da KSL, o diretor de tecnologia da Cloudflare disse que a empresa estava observando ataques iniciais e atualizando continuamente suas mitigações conforme novos métodos de ataque apareciam, descrevendo a proteção da Cloudflare como uma medida temporária até a chegada da correção oficial do PHP. Sansec informou separadamente que Cloudflare detectou ataques começando às 07:43 UTC em 21 de outubro, aproximadamente seis horas antes do patch agendado do PHP.

• WordPress, Drupal, Joomla e Magento, os sistemas de gerenciamento de conteúdo e e-commerce construídos em PHP
• Versões específicas nomeadas por Sansec como confirmadamente vulneráveis: Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 e Symfony 8.1
• Plataformas de hospedagem compartilhada e painéis de controle que incluem PHP, de acordo com o aviso do NCSC
• Serviços governamentais holandeses DigiD e MijnOverheid, de acordo com Techzine

Escala de exposição: estimativas variam

O que se sabe e o que não se sabe

O time do PHP confirmou que PHP 8.2, 8.3, 8.4 e 8.5 receberiam correções oficiais — esperadas como versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, de acordo com The Hacker News — enquanto ramos de fim de vida 8.1 e anteriores não seriam corrigidos pelo fornecedor. Sansec, porém, disse que o código defeituoso subjacente remonta a PHP 5.4.0, significando que muitas instalações mais antigas não suportadas provavelmente permanecem vulneráveis sem correção oficial disponível. De acordo com The Hacker News, nenhum exploit de prova de conceito público estava disponível a partir de seu relatório de 21 de outubro, e as falhas não tinham sido adicionadas ao catálogo de Vulnerabilidades Exploradas Conhecidas da CISA naquele momento — embora a declaração posterior da Cloudflare indicasse que tentativas de ataque já estavam em andamento.

Antecedentes: como as falhas foram encontradas

A cronologia da Sansec rastreia o primeiro bug para pesquisa que começou em 1º de agosto de 2026, por um pesquisador usando o identificador "Calif" trabalhando com OpenAI, que o reportou ao time de segurança do PHP em 11 de agosto. Um segundo relatório relacionado veio do time Wiz Research — nomeado por Sansec como Sagi Tzadik, Shir Tamari, Nir Ohfeld e Tomer Schwartz — em 24 de agosto. Sansec disse que ambos os times de pesquisa creditaram modelos de IA por acelerar o trabalho de encontrar e adaptar exploits entre versões do PHP, com um pesquisador aparentemente alcançando exploração funcional em cerca de uma semana. Detalhes da divulgação coordenada sob embargo vazaram publicamente em 20 de outubro, levando o PHP a antecipar seu anúncio e estabelecer o lançamento do patch de 21 de outubro.