This post is also available in: Português
As vulnerabilidades CVE-2026-109618 e CVE-2026-109619, conhecidas como PHP2Shell, foram incluídas pela CISA no catálogo de vulnerabilidades comprovadamente exploradas, o Known Exploited Vulnerabilities (KEV). A atualização, anunciada em 26 de outubro de 2026, confirma que as falhas estão sendo utilizadas em ataques e reforça a urgência de corrigir instalações expostas.
A OSTEC já abordou as atualizações emergenciais para o PHP2Shell e, posteriormente, a CVE-2026-115560, uma vulnerabilidade distinta. Agora, a confirmação da CISA acrescenta um motivo concreto para revisar as ações adotadas: verificar se todas as instalações receberam as correções e investigar possíveis sinais de comprometimento.
O que muda com a confirmação da CISA?
A inclusão no KEV indica que existem evidências de exploração no mundo real. Para as empresas, essa informação ajuda a definir prioridades: além da gravidade técnica, passa a existir confirmação de que agentes maliciosos estão aproveitando as vulnerabilidades.
As exigências da diretiva citada pela CISA se aplicam às agências civis do Poder Executivo federal dos Estados Unidos. Entretanto, a agência incentiva organizações de todos os setores a priorizar as falhas presentes no catálogo.
Isso não significa que todo servidor vulnerável tenha sido invadido. Significa que manter sistemas expostos sem correção exige uma resposta imediata, com responsáveis definidos, validação técnica e avaliação de possíveis incidentes.
Por que as falhas PHP2Shell são perigosas?
As duas vulnerabilidades podem permitir execução remota de código sem autenticação e receberam pontuação CVSS v4.0 de 9,2, considerada crítica.
A CVE-2026-109618 envolve corrupção de memória durante o tratamento de situações de esgotamento de memória. Já a CVE-2026-109619 está relacionada à permanência de estados internos após a liberação da memória associada a uma requisição, permitindo seu uso indevido em um processamento posterior.
O problema atinge o interpretador PHP. Por isso, atualizar somente o CMS, os plugins ou o framework não substitui a correção desse componente. No Apache com mod_php, foi demonstrado um ataque que pode ocorrer antes da execução do código da aplicação.
A análise precisa abranger também PHP-FPM, php-cgi, FrankenPHP e LiteSpeed. As condições e a confiabilidade da exploração variam conforme o ambiente, mas essa diferença não dispensa a atualização.
Quais versões corrigem as vulnerabilidades?
As correções emergenciais foram disponibilizadas em 21 de outubro. As versões de referência para corrigir as duas falhas são:
| Linha do PHP | Versão com correção do PHP2Shell |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Para instalações mantidas por distribuições ou fornecedores, é necessário confirmar se o pacote utilizado incorpora os patches. A validação deve considerar a correção efetivamente entregue pelo fornecedor.
O projeto também disponibilizou backports mínimos de código-fonte para PHP 7.4, 8.0 e 8.1 em caráter excepcional. Isso não representa a retomada do suporte regular dessas linhas. Ambientes legados precisam verificar a cobertura oferecida pelo fornecedor e planejar a migração para uma versão suportada.
Aplicar o patch precisa vir acompanhado de investigação
A confirmação de exploração torna necessário avaliar o período em que cada sistema permaneceu vulnerável. Instalar a atualização corrige as falhas, mas não remove automaticamente alterações que um invasor possa ter realizado antes dela.
A CISA orienta monitorar comportamentos suspeitos, como processos do PHP iniciando shells ou baixando ferramentas. Esses eventos devem ser analisados no contexto da aplicação, junto aos registros disponíveis, para determinar se existe atividade não autorizada.
Na resposta, vale separar duas verificações: a confirmação de que o componente foi corrigido e a investigação sobre um possível comprometimento anterior. Quando surgirem evidências de incidente, a equipe deve acionar os procedimentos de contenção e resposta.
Medidas temporárias não substituem a atualização
O projeto PHP informa que apenas a atualização oferece uma solução completa para o PHP2Shell. Ajustes de configuração e controles de proteção podem reduzir caminhos específicos de ataque, mas não tornam segura uma instalação vulnerável.
Se a atualização imediata não for possível, a CISA recomenda retirar os sistemas PHP afetados de operação até que possam ser corrigidos. A decisão precisa envolver as equipes técnicas e os responsáveis pelo serviço, considerando alternativas para a continuidade das atividades.
A desativação de session.upload_progress.enabled também exige atenção. Para a CVE-2026-109619, ela bloqueia determinados caminhos conhecidos e deve ser aplicada antes do processamento das requisições, com reinicialização dos processos. A medida não cobre todas as variantes de exploração.
E a CVE-2026-115560?
A CVE-2026-115560 é um problema separado. O anúncio da CISA sobre a inclusão no KEV trata das duas falhas originais do PHP2Shell.
Segundo o comunicado do PHP de 23 de outubro, a vulnerabilidade posterior depende de uma combinação incomum de configurações e alterações do mecanismo de serialização de sessões durante a execução da aplicação. A orientação preventiva é desativar session.upload_progress.enabled enquanto se aguarda a correção no ciclo regular. Aplicações que não alteram esse mecanismo em tempo de execução não apresentam a condição específica descrita.
Portanto, as empresas precisam acompanhar as duas frentes: confirmar as correções emergenciais do PHP2Shell e avaliar separadamente as condições da CVE-2026-115560.
Como transformar o alerta em uma resposta efetiva
Para a gestão, o alerta deixa uma pergunta prática: a empresa consegue demonstrar quais sistemas utilizam PHP, quais foram corrigidos e quais ainda exigem intervenção?
Um processo de resposta precisa registrar os ativos afetados, os responsáveis, as correções aplicadas e as pendências. Essa visibilidade permite acompanhar a redução da exposição e evita que a atualização de um servidor seja interpretada como a conclusão de todo o trabalho.
A Gestão Continuada de Vulnerabilidades da OSTEC apoia a identificação, avaliação e priorização de falhas nos ambientes tecnológicos. Diante de vulnerabilidades com exploração confirmada, manter esse acompanhamento ajuda a orientar as ações conforme o risco para o negócio.
Entre em contato com a OSTEC para conhecer a Gestão Continuada de Vulnerabilidades e fortalecer o acompanhamento da segurança do seu ambiente.
This post is also available in: Português
