Burp Suite detecta PHP2Shell, saiba agir
PortSwigger liberou checagens rápidas para ajudar equipes a verificar exposição em aplicações PHP.
Resumo rapido
PHP2Shell, nome associado às CVEs CVE-2026-109618 e CVE-2026-109619, repercutiu no mundo inteiro. A PortSwigger lembra que até 70% dos sites usam algum PHP. Em poucas horas, o Burp Suite passou a oferecer formas de testar exposição sem derrubar a operação.
Neste artigo voce vai aprender:
- O que foi divulgado sobre PHP2Shell.
- Quais recursos do Burp Suite já fazem detecção.
- Qual versão do Burp Scanner deve ser verificada.
- Como priorizar a checagem em ambientes PHP.
- Um checklist simples para agir sem tirar sistemas do ar.
O que é PHP2Shell
PHP2Shell é o nome dado às vulnerabilidades CVE-2026-109618 e CVE-2026-109619. A publicação da PortSwigger explica por que o assunto ganhou tração tão rápido: PHP está presente em boa parte da web e, por algumas estimativas citadas pela própria empresa, até 70% dos sites executam ao menos um componente nessa linguagem.
Esse número não quer dizer que todo site em PHP esteja exposto. Ele indica, isso sim, o tamanho da superfície que precisa ser conferida. Quem responde por aplicações web tem a tarefa de confirmar rapidamente se os próprios sistemas entram na conta, de preferência sem interromper serviços.
Como o Burp Suite ajuda
A PortSwigger informou que disponibilizou testes seguros para PHP2Shell dentro do ecossistema Burp Suite em poucas horas após a divulgação. São quatro caminhos, cada um pensado para um cenário de uso diferente:
- Burp AT: ganhou uma habilidade para que agentes testem PHP2Shell em nome da equipe.
- Burp Suite DAST: cobre varredura em escala corporativa, desde que o Burp Scanner esteja na versão 2026.10.54778 ou superior.
- Burp Suite Professional: recebeu verificações ativas e passivas.
- ActiveScan++: também detecta PHP2Shell, com suporte no Burp Suite Professional e no Burp Suite DAST.
Sinais de alerta
A fonte não detalha sintomas técnicos do ataque, então o indicador mais útil é de exposição operacional: aplicações PHP que ainda não passaram por verificação desde a divulgação das CVEs. Dê prioridade a ambientes com as seguintes características:
- Aplicações públicas na internet usando PHP.
- Sistemas críticos que não podem ser retirados do ar para testes manuais demorados.
- Times com múltiplos sites ou APIs, onde a checagem precisa ser feita em escala.
- Burp Scanner abaixo da versão 2026.10.54778 em fluxos de DAST.
O que fazer agora
Comece pelo inventário: liste quais aplicações usam PHP e quais estão expostas publicamente. Em seguida, aplique as checagens já disponíveis no Burp Suite para reduzir incerteza. Se a empresa usa Burp Suite DAST, confirme a versão do Burp Scanner antes de disparar a varredura. No Burp Suite Professional, combine verificações ativas e passivas para ampliar a cobertura durante os testes.
Em organizações maiores, o maior risco é decidir no escuro. A PortSwigger reforça uma tendência que pesa aqui: a inteligência artificial vem acelerando a descoberta de vulnerabilidades, encurtando o intervalo entre a divulgação pública, a cobrança interna e a necessidade de resposta documentada.
Checklist prático
- Identifique todas as aplicações, sites e APIs que executam algum componente em PHP.
- Verifique se o Burp Scanner está na versão 2026.10.54778 ou superior antes de usar Burp Suite DAST.
- Execute as checagens de PHP2Shell disponíveis no Burp AT, Burp Suite Professional, Burp Suite DAST ou ActiveScan++.
- Registre quais sistemas foram testados, quando foram testados e qual foi o resultado.
- Priorize investigação manual nos ativos públicos ou críticos que apresentarem indício de exposição.
Perguntas frequentes
Todo site em PHP está vulnerável ao PHP2Shell?
Não é isso que a publicação afirma. O dado citado é que até 70% dos sites usam algum PHP, o que amplia a necessidade de verificação. A confirmação depende de teste no ambiente real.
Qual versão do Burp Scanner devo usar?
Para varredura em escala no Burp Suite DAST, a PortSwigger orienta usar o Burp Scanner versão 2026.10.54778 ou superior.
O Burp Suite Professional também detecta PHP2Shell?
Sim. A publicação informa que há verificações ativas e passivas disponíveis no Burp Suite Professional, além de suporte via ActiveScan++.
Proteja sua empresa com a LC SEC
A LC SEC ajuda sua equipe a validar exposição, priorizar ativos críticos e transformar alertas de vulnerabilidade em ações verificáveis, sem paralisar a operação.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Compartilhe nas redes sociais:
