Falhas antigas no PHP descobertas com IA: sites públicos europeus são retirados do ar

A equipe de segurança do PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 em 21 de outubro de 2026, que corrigem duas vulnerabilidades críticas chamadas PHP2Shell (CVE-2026-109618 e CVE-2026-109619). Ambas as vulnerabilidades, classificadas com 9,2 de 10 na escala de gravidade CVSS v4.0, permitem a execução remota de código em um servidor web sem credenciais. Pesquisadores da Califórnia e da Wiz, juntamente com OpenAI , as descobriram usando modelos de inteligência artificial e, segundo a Wiz, elas estavam presentes no código há mais de uma década.

Antes do lançamento, agendado para as 14h UTC e antecipado em alguns minutos, diversas organizações europeias desativaram seus sites por precaução. A Reuters noticiou, entre outros, o portal do governo holandês Overheid.nl, o site da agência nacional de cibersegurança da Holanda, o porto de Roterdã e vários hospitais; na Finlândia, a provedora estatal de TI Valtori suspendeu os serviços públicos; na Dinamarca, a Kombit desativou a plataforma nacional de escolas; e na França, o Ministério do Interior desativou os sites das prefeituras. A Valtori afirmou não ter detectado nenhuma tentativa de ataque.

Como funciona o PHP2Shell e quem o inventou

A falha reside na forma como o PHP aborta uma requisição quando fica sem memória ou encontra um erro fatal. O mecanismo utiliza `longjmp()`, uma função da linguagem C que retorna a execução a um ponto anterior, ignorando etapas intermediárias. Na primeira falha, a requisição é interrompida com alguns dados internos apenas parcialmente inicializados, e a fase de limpeza os trata como válidos. Na segunda falha, certas estruturas sobrevivem à liberação da memória que as continha, e uma requisição subsequente, processada pelo mesmo worker (o processo que serve as páginas), pode reutilizá-las.

Um atacante que envie requisições HTTP projetadas para esgotar a memória poderia explorar essa corrupção para executar código. O aviso oficial do projeto PHP lista todas as instalações que respondem a requisições web como expostas (PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed) e classifica o risco como mais alto no mod_php, onde a exploração demonstrada entra em vigor antes que qualquer código do aplicativo seja executado. A Cloudflare lista todos os servidores que executam PHP versão 5.4 e posteriores como vulneráveis.

A Calif afirma ter relatado a primeira falha em 11 de agosto, utilizando o modelo GPT-5.6 Sol da OpenAI . A Wiz afirma que sua descoberta ocorreu em 19 de agosto, usando sua ferramenta interna Wiz Atlas, o Gemini 4 Argon do Google e o próprio GPT-5.6 Sol, e alega que um único pesquisador concluiu em uma semana o que levaria meses para uma equipe de especialistas. Essa é a avaliação da empresa, sem qualquer medição independente, assim como a estimativa da Wiz de que o PHP é executado em cerca de 70% dos sites. O caso surge poucos meses após a descoberta de outras vulnerabilidades baseadas em IA em softwares amplamente utilizados.

Quem precisa atualizar e o que ainda não foi confirmado.

Distribuições Linux e fornecedores com suporte estendido receberam as correções antecipadamente, portanto, aqueles que usam PHP a partir de pacotes do sistema receberão a atualização de seu fornecedor. As versões 8.1 e anteriores não receberão patches oficiais; a equipe lançou correções mínimas no código-fonte para as séries 7.4, 8.0 e 8.1, destinadas àqueles que compilam o PHP por conta própria. O suporte para a série 8.2 será encerrado em 31 de dezembro de 2026.

O projeto PHP lista algumas medidas temporárias, como desabilitar `session.upload_progress.enabled` ou diminuir o limite de `post_max_size`, mas alerta que essas medidas apenas bloqueiam certas vias de ataque e não garantem a segurança da instalação. O CERT-EU e o Centro Nacional de Segurança Cibernética do Reino Unido recomendaram a desativação imediata de sistemas que não podem ser atualizados. A União Europeia não ordenou nenhum desligamento; as decisões foram tomadas por cada autoridade nacional.

Atualizado às 19h45 do dia 21 de outubro. A Cloudflare ativou regras de filtragem dedicadas em seu firewall de aplicativos às 3h02 UTC, antes da publicação. Empresas de inteligência de ameaças estão monitorando.

A Tower e a Sophos relatam discussões e tentativas de exploração dentro de comunidades criminosas, mas até agora não houve acordos confirmados publicamente, nem uma contagem dos sites ainda expostos. As reconstruções disponíveis não listam órgãos públicos italianos entre aqueles que removeram os sites.

Perguntas frequentes

Como verificar qual versão do PHP um site está usando?

A informação confiável vem do processo que serve as páginas, não da linha de comando, pois várias versões podem coexistir no mesmo servidor. Em hospedagem gerenciada, a versão aparece no painel de controle; alternativamente, é melhor pedir ao seu provedor para confirmar se as versões 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 já estão instaladas e ativas.

Um site WordPress está exposto ao PHP2Shell?

Sim, se estiver rodando em uma versão incorreta do PHP, pois a falha está no mecanismo da linguagem, não no CMS. Atualizar o WordPress, temas ou plugins não fecha o PHP2Shell. Você precisa atualizar o PHP no servidor, o que, em hospedagem compartilhada, depende do provedor, não do administrador do site.