PHP2Shell no PHP permite RCE pre-auth e ja tem exploracao ativa ampla

Exploração começou em 17/10, patch só em 21/10

PHP2Shell é o nome associado a duas falhas críticas no core do PHP: CVE-2026-109618 e CVE-2026-109619. A pontuação atribuída é CVSS 9.2, faixa crítica, o que indica potencial de impacto severo em qualquer ambiente que dependa do PHP. Não se trata de um bug em plugin ou framework isolado.

O detalhe que mais pesa é a linha do tempo. Os patches foram liberados em 21/10, enquanto tentativas de exploração já apareciam desde 17/10, conforme registrado pela Amazon. A correção chegou com os ataques em curso, e isso muda a forma de responder ao alerta.

O que uma RCE pré-autenticação realmente permite

RCE significa execução remota de código: o invasor consegue fazer o servidor rodar comandos que jamais deveria executar. O termo pré-autenticação agrava tudo, porque dispensa login, senha, token ou sessão válida. Basta alcançar o serviço pela rede para tentar o ataque.

Como a falha está no core do PHP, o problema não se limita a um sistema específico. Empresas com sites, APIs e aplicações internas em PHP precisam tratar o caso como prioridade máxima, com atenção redobrada para tudo que está publicado na internet.

Sinais de alerta nos logs a partir de 17/10

Com atividade ampla em andamento, identificar rápido vale tanto quanto corrigir. As equipes técnicas devem procurar comportamentos que fogem do padrão operacional, principalmente no intervalo entre 17/10 e a data em que o patch foi aplicado. Entre os indícios mais comuns:

• requisições incomuns chegando a aplicações PHP expostas;
• erros ou travamentos fora do comportamento normal após 17/10;
• picos de acesso inesperados em endpoints pouco usados;
• arquivos alterados sem mudança planejada;
• processos ou comandos no servidor que não façam parte da rotina.

Corrigir, investigar e reduzir exposição

A primeira medida é aplicar os patches liberados em 21/10 em todos os ambientes PHP, sem exceção. Em paralelo, revise os logs a partir de 17/10: como as tentativas antecederam a correção pública, atualizar sem investigar deixa em aberto a possibilidade de um comprometimento já consumado. Atualização e investigação são tarefas distintas.

Vale também cortar exposição desnecessária. Se um serviço PHP não precisa ser público, restrinja o acesso por firewall ou VPN. Sistemas legados, que costumam demorar mais para receber correção, merecem prioridade em monitoramento e validação enquanto a atualização não é concluída.

Checklist pratico

1. Mapeie servidores, sites e APIs que usam PHP e priorize os expostos à internet.
2. Aplique os patches de 21/10 e registre quais ambientes foram corrigidos.
3. Revise logs desde 17/10 em busca de acessos, erros e alterações incomuns.
4. Verifique se arquivos, permissões e processos do servidor continuam íntegros.
5. Mantenha monitoramento ativo, pois o alerta aponta atividade ampla em andamento.

Perguntas frequentes

O que é PHP2Shell?

É o nome associado às falhas CVE-2026-109618 e CVE-2026-109619 no core do PHP, com risco de execução remota de código.

A falha já está sendo explorada?

Sim. Há tentativas de exploração detectadas desde 17/10 pela Amazon, além de atividade ampla em andamento.

Atualizar resolve tudo?

Atualizar é indispensável, mas não encerra o trabalho. Como houve tentativas antes dos patches de 21/10, é preciso revisar logs e caçar sinais de comprometimento anterior à correção.

Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io

Fontes:
Resumo e texto extraído fornecidos na pauta