PHP2Shell: o que já se sabe sobre os ataques e por que a calma não dispensa a atualização
Dois dias depois da divulgação do PHP2Shell (CVE-2026-109618 e CVE-2026-109619), o tom mudou: a Sansec, que no dia do lançamento previa ataques em massa em minutos, atualizou a análise em 22 de outubro e passou a dizer que a exploração em massa é "menos provável do que esperávamos". Isso não quer dizer que o risco acabou.
Linha do tempo
- 1º de agosto: a Calif encontra vários caminhos de execução remota de código.
- 11 de agosto: a Calif reporta o primeiro defeito ao PHP e começa a divulgação coordenada.
- 24 de agosto: a Wiz Research também reporta as falhas ao PHP.
- 20 de outubro: os detalhes vazam antes da hora e a watchTowr confirma a execução remota de código.
- 21 de outubro, 07h43 UTC: a Cloudflare relata os primeiros ataques, antes do lançamento do patch.
- 21 de outubro, 14h00 UTC: o PHP lança 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
- 22 de outubro: a Sansec revisa a avaliação.
O vazamento forçou o PHP a antecipar o lançamento, e as falhas ficaram pouco mais de dois meses entre o primeiro reporte e a correção.
Por que a exploração em massa ficou menos provável
Segundo a Sansec, os ataques exigem conhecimento específico do servidor-alvo e condições específicas nele, ao contrário de falhas como Log4Shell e Shellshock, que funcionavam com uma única requisição genérica. Ninguém demonstrou uma requisição genérica para o PHP2Shell, e um pesquisador relatou que as provas de conceito públicas não funcionam contra uma instalação padrão do PHP: a maioria exige que a aplicação alvo tenha, além disso, uma falha de inclusão local de arquivo, e algumas só funcionam porque o testador a plantou no servidor de teste.
A Sansec também considera desnecessário tirar lojas do ar. Mas ela ressalta que os caminhos de execução rodam dentro do PHP, antes do código da aplicação e antes de firewalls de aplicação como o dela, que portanto não protegem contra esse tipo de ataque.
Quantos servidores estão expostos
Os números variam conforme quem mede, e todos têm limitações:
- Mallory, com dados do Shodan de 20 de outubro: cerca de 2,24 milhões de hosts anunciam PHP. Dos cerca de 1,5 milhão que mostram a versão, 59% (883.717) rodam uma série sem versão oficial corrigida. Cerca de 740 mil escondem a versão, e distribuições Linux podem ter aplicado correções por conta própria, então o número real pode ser maior ou menor.
- CybelAngel: varreu 1,3 milhão de ativos expostos depois do lançamento; entre os que revelam a versão, 54% usam uma série já encerrada.
- Infrawatch: conta cerca de 11 milhões de serviços PHP em 4,38 milhões de endereços IP, mas ressalta que isso não significa que todos sejam explorados.
O que isso muda para você
- Atualizar continua sendo a única correção completa, segundo o próprio PHP.
- Quem roda PHP 8.1 ou anterior não recebeu versão oficial: precisa do backport da distribuição ou do painel, ou de migrar. Veja como conferir se o seu servidor já foi corrigido.
- Uma aplicação com falha de inclusão de arquivo (include/require com dados do usuário) é exatamente o tipo de alvo que as provas de conceito exploram: vale revisar o código também.
- Observe os logs: segundo as análises, a tentativa que falha costuma derrubar o processo e aparece como resposta 5xx do PHP.
Matéria baseada em relatos de empresas de segurança; o PHP não confirma a exploração ativa. Será atualizada conforme saiam novos dados.
Sua semana em números 📬
Selic, CDI, inflação e as novidades das ferramentas — um e-mail por semana, sem spam.
Sem custo, descadastro em 1 clique em qualquer e-mail.
