Este artigo ou se(c)ção trata de um evento atual ou em curso. Nota: É desejável que indique um dos temas que constam da lista de temas padrão. A informação apresentada pode mudar com frequência. Não adicione especulações, nem texto sem referência a fontes confiáveis. Editado pela última vez em 23 de outubro de 2026.
PHP2Shell é o nome dado a duas vulnerabilidades de segurança da linguagem de programação PHP, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619. As falhas permitem a execução arbitrária de código remotamente. Sua existência foi anunciada publicamente em 20 de outubro de 2026. No dia seguinte, foram disponibilizadas correções emergenciais e informações técnicas sobre as vulnerabilidades.
Descoberta
As vulnerabilidades foram descobertas de forma independente pela empresa de segurança californiana Calif, no âmbito do projeto «Patch the Planet», da OpenAI, e pela empresa de segurança em nuvem Wiz. Segundo a Wiz, as falhas afetam versões do PHP desde a 5.4 até a série 8.
Os desenvolvedores do PHP atribuíram às vulnerabilidades uma pontuação de 9,2 em 10, classificada como crítica, segundo a versão 4.0 do Common Vulnerability Scoring System (CVSS). A empresa de segurança watchTowr atribuiu-lhes a pontuação máxima de 10,0.
Correções
Os mantenedores do PHP disponibilizaram versões corrigidas das séries 8.2, 8.3, 8.4 e 8.5. Também foram publicadas correções no código-fonte para as versões 7.4, 8.0 e 8.1, mas não foram disponibilizados binários oficiais atualizados para essas séries, que já haviam chegado ao fim de seu ciclo de vida de suporte.
As duas vulnerabilidades foram documentadas em avisos de segurança no GitHub em 21 de outubro de 2026, às 13h34 UTC, 26 minutos antes do horário anunciado para a publicação das correções.
Os mantenedores anteciparam o anúncio após informações sobre as falhas circularem no fórum Hacker News e serem confirmadas pela conta da empresa watchTowr no X. O aviso antecipado publicado no PHP.net permitiu que administradores preparassem a atualização dos sistemas antes da disponibilização das correções. A empresa de segurança Sansec estimou que ataques em larga escala poderiam começar nos primeiros 15 minutos após a publicação das correções.
Provas de conceito, análises técnicas e medidas parciais de mitigação começaram a circular na internet antes do fim do período de embargo.
A Cloudflare relatou indícios de exploração das falhas antes da publicação das correções e implementou regras temporárias de firewall de aplicação web (WAF) para tentar reduzir o risco de ataques.
Impacto
Aviso publicado na Wikipédia em inglês sobre a indisponibilidade de ferramentas mantidas pela comunidade em decorrência do PHP2Shell
Seguindo recomendações da equipe de resposta a emergências informáticas da União Europeia (CERT-EU) e do Centro Nacional de Segurança Cibernética do Reino Unido (NCSC), organizações europeias retiraram temporariamente seus sites do ar enquanto aguardavam as correções. Entre elas estavam o portal do governo dos Países Baixos Overheid.nl, a plataforma nacional de comunicação escolar da Dinamarca, todos os serviços web do governo da Finlândia voltados ao público e todos os sites do Ministério do Interior da França. Nos Estados Unidos, a Agência de Segurança Nacional (NSA) recomendou que os sites fossem retirados do ar caso não pudessem ser atualizados imediatamente. O NCSC britânico divulgou um alerta semelhante, no qual pedia às organizações atenção à possível instalação de backdoors. No Japão, o Escritório Nacional de Cibersegurança orientou os usuários de PHP a atualizar seus sistemas sem demora.
Pesquisadores da Wiz compararam a gravidade do problema à do Heartbleed, vulnerabilidade revelada em 2014 numa biblioteca de criptografia usada à época por cerca de dois terços da web. Um texto explicativo publicado pelo The Guardian observou que a PHP Foundation, entidade que mantém a linguagem, contava com apenas treze funcionários em tempo integral e parcial e dependia de doações, enquanto a pesquisa em inteligência artificial, creditada por ajudar a encontrar as falhas, recebia investimentos da ordem de bilhões. Em reportagem do The New York Times, o PHP foi descrito como onipresente na web, e o jornal considerou possível que usuários comuns tivessem seus dados pessoais expostos.
