As duas falhas críticas do PHP corrigidas em 21 de outubro, apelidadas de PHP2Shell, já foram usadas em invasões. Segundo a TechCrunch, até a noite de 23 de outubro Palo Alto Networks e Trail of Bits já davam como confirmados comprometimentos e atividade pós-exploração ligados ao bug. No mesmo dia, o projeto PHP publicou um aviso adicional sugerindo desligar a opção session.upload_progress até a próxima correção. No Brasil, três tribunais regionais federais suspenderam o SEI por precaução, e a Anatel atribuiu a indisponibilidade do seu SEI à falha.
Resumo: em 21 de outubro o PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para corrigir as CVE-2026-109618 e CVE-2026-109619, falhas de execução remota de código sem autenticação com nota CVSS 9,2; “não há mitigações completas”, diz o projeto. Em 23 de outubro veio um aviso informativo: desligar session.upload_progress até a próxima versão, por um vetor “improvável” registrado como CVE-2026-115560. A TechCrunch relata que a Amazon viu exploração a partir de 17 de outubro e que Palo Alto Networks e Trail of Bits confirmaram invasões. No Brasil, TRF-1, TRF-4, TRF-6 e Anatel suspenderam o SEI em 21 de outubro; o MGI diz que o gov.br não foi afetado.
Neste artigo
- O que são as falhas e o que o PHP corrigiu
- O novo aviso de 23 de outubro
- Invasões confirmadas e exploração antes do patch
- O que saiu do ar no Brasil
- Por que especialistas esperam mais falhas
- O que quem tem site em PHP precisa fazer
- Perguntas frequentes
- Referências
O que são as falhas e o que o PHP corrigiu
O advisory oficial de 21 de outubro descreve duas vulnerabilidades: a CVE-2026-109618, execução remota de código por corrupção no tratamento de falta de memória, e a CVE-2026-109619, execução remota de código por estado global obsoleto. Em 20 de outubro, o projeto já havia avisado que as duas tinham nota 9,2 no CVSS 4.0.
Segundo o PHP, estão em risco todas as instalações que atendem requisições web, com risco maior no mod_php. As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35; para PHP 7.4, 8.0 e 8.1, sem suporte, há backports mínimos em código-fonte. O anúncio da 8.2.35 lembra que o PHP 8.2 chega ao fim de vida em 31 de dezembro de 2026 e afirma: “não há mitigações completas, atualizar é a única escolha segura”.
O novo aviso de 23 de outubro
Dois dias depois do patch, o PHP publicou um “aviso informativo” sugerindo manter session.upload_progress.enabled=0 até a próxima versão regular de correção, “para proteger totalmente de um vetor improvável de RCE”. O vetor ganhou o identificador CVE-2026-115560 e terá advisory completo na próxima versão. Segundo o projeto, o problema só ocorre numa combinação incomum de configuração e código. Quem já aplicou a configuração em 21 de outubro só precisa mantê-la.
Invasões confirmadas e exploração antes do patch
A TechCrunch publicou em 24 de outubro, em texto de Zack Whittaker, a linha do tempo da exploração. Segundo a reportagem, a Amazon detectou exploração do PHP2Shell cerca de uma semana antes dos patches e recomendou procurar sinais de invasão a partir de 17 de outubro. A confirmação de Palo Alto Networks e Trail of Bits, até a noite de 23 de outubro, não identifica os alvos.
Ainda segundo a TechCrunch, as falhas foram encontradas pela equipe de pesquisa Calif durante uma auditoria de código, dentro da iniciativa Hack the Planet, da OpenAI com a Wiz. A reportagem diz que a IA foi usada para auxiliar na exploração e que o grosso do trabalho dependeu de conhecimento humano. Segundo a TechCrunch, cerca de 70% da web voltada ao público depende de PHP. Matthew Prince, CEO da Cloudflare, disse ao site que a empresa viu “um número exponencial de tentativas de explorar os bugs depois da divulgação”. Segundo o Tecnoblog, a Cloudflare ativou proteções no seu WAF cerca de nove horas antes da divulgação, sem que isso dispense a atualização.
O que saiu do ar no Brasil
| Órgão | Medida | Data | Fonte |
|---|---|---|---|
| TRF-1 | Suspendeu o acesso externo ao SEI, em “caráter preventivo”, por recomendação do TRF-4 | 21/10 | Folhapress, Canaltech |
| TRF-4 | Suspendeu o acesso ao SEI como medida de segurança | 21/10 | Folhapress |
| TRF-6 | Bloqueou o SEI, suspendeu expediente e prazos em Minas Gerais; expediente retomado em 22/10 | 21/10 | Folhapress, Canaltech |
| Anatel | Tirou o SEI do ar, atribuindo a indisponibilidade à falha do PHP, sem previsão | 21/10 | Folhapress, Canaltech |
| MGI | Sites federais e Gov.BR “não foram afetados” | nota sem data, reproduzida em 22/10 | Folhapress |
A Anatel disse ao Canaltech que “o caso não se trata de uma falha ou vulnerabilidade inerente ao SEI”, e sim de “uma vulnerabilidade recente identificada no próprio PHP”. Segundo a Folhapress, o CTIR Gov e o Centro Integrado de Segurança Cibernética do Governo Digital emitiram alertas aos órgãos em 21 de outubro.
Por que especialistas esperam mais falhas
Em 24 de outubro, a Reuters ouviu sete especialistas em segurança. Matthew Prince afirmou conhecer “várias outras vulnerabilidades graves presentes em outras peças de software crítico” e previu: “acho que vamos ter alguns anos em que toda semana vai parecer que o céu está caindo”. A VulnCheck, segundo a agência, deve publicar pesquisa indicando que a IA ajudou a dobrar o número de falhas descobertas em relação ao ano anterior. A Reuters menciona as falhas do PHP, mas não cita o nome PHP2Shell nem a OpenAI; essas ligações vêm da TechCrunch. O Cientistas Digitais já tratou do uso de agentes de IA para achar e explorar falhas em IA invade empresa pra colar em prova: o caso OpenAI x Hugging Face.
O que quem tem site em PHP precisa fazer
- Confirmar a versão com a hospedagem: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou versão com o backport do fornecedor.
- Aplicar o aviso de 23 de outubro: manter
session.upload_progress.enabled=0no php.ini ou no pool do FPM até a próxima versão. - Procurar sinais de invasão desde 17 de outubro, data que a Amazon indicou, segundo a TechCrunch. O WAF da Cloudflare, segundo a própria empresa, não substitui a atualização.
Sites em WordPress rodam sobre PHP e entram na lista. O Cientistas Digitais analisou o CMS em WordPress 7.0 mostra que o CMS mais usado da internet quer continuar relevante.
Perguntas frequentes
O que é PHP2Shell?
É o apelido das falhas CVE-2026-109618 e CVE-2026-109619, corrigidas em 21 de outubro de 2026, que permitem execução remota de código sem autenticação em servidores PHP, com nota 9,2 no CVSS 4.0.
Meu site WordPress está em risco?
Se o servidor roda uma versão do PHP anterior às corrigidas e sem o backport do fornecedor, sim. O projeto PHP diz que a única opção segura é atualizar.
O que mudou no aviso de 23 de outubro?
O PHP passou a sugerir manter session.upload_progress.enabled=0 até a próxima versão de correção, por causa de um vetor adicional, a CVE-2026-115560, considerado improvável.
Matéria produzida pela redação automatizada do Cientistas Digitais (CD Bot) a partir das fontes listadas abaixo e revisada antes da publicação.
Referências
- PHP: notícias de 2026 (advisory de 21/10 e aviso de 23/10)
- TechCrunch: PHP-ocalypse (24/10)
- Reuters, via Star-Advertiser: falhas descobertas por IA (24/10)
- Folhapress, via O Tempo: governos e tribunais tiram sites do ar (22/10)
- Canaltech: Anatel e tribunais suspendem sistemas (21/10)
- Tecnoblog: falha grave no PHP (21/10)