Duas vulnerabilidades graves foram identificadas no PHP, uma das linguagens de programação mais utilizadas na internet. As falhas podem permitir que invasores executem comandos remotamente em servidores, mesmo sem possuir usuário ou senha. Especialistas recomendam a atualização imediata dos sistemas afetados.
No dia 21 de outubro de 2026, foram divulgadas duas vulnerabilidades críticas de segurança no PHP, identificadas como CVE-2026-109618 e CVE-2026-109619. As falhas, conhecidas em conjunto como php2shell, receberam pontuação 9,2 de 10 na escala CVSS 4.0, indicando um risco elevado para aplicações e servidores vulneráveis.
O problema merece atenção especial porque o PHP é amplamente utilizado em sites corporativos, lojas virtuais, sistemas administrativos, portais de notícias e plataformas digitais.
Segundo os comunicados de segurança, as vulnerabilidades podem permitir a execução remota de código (RCE), inclusive sem autenticação, comprometendo a integridade de aplicações e informações armazenadas nos servidores.
Entenda as duas vulnerabilidades encontradas
1. CVE-2026-109618 — Falha no gerenciamento de memória
A primeira vulnerabilidade está relacionada ao tratamento incorreto de situações de esgotamento de memória durante o processamento de requisições.
Em determinadas condições, o PHP pode interromper uma operação quando estruturas internas ainda não foram inicializadas corretamente. Isso pode provocar corrupção de memória e abrir caminho para a execução de código malicioso.
Possíveis consequências:
- Execução de comandos não autorizados.
- Comprometimento de aplicações hospedadas.
- Acesso indevido a informações.
- Interrupção de serviços e sistemas.
2. CVE-2026-109619 — Falha no reaproveitamento de processos
A segunda vulnerabilidade envolve o gerenciamento de informações internas entre requisições processadas por um mesmo trabalhador do PHP.
Em determinadas circunstâncias, informações podem permanecer acessíveis após a liberação da memória utilizada anteriormente.
Essa condição pode permitir que requisições posteriores acessem estados inconsistentes, criando oportunidades para exploração e execução remota de código.
O principal risco é que a exploração dessas vulnerabilidades pode ocorrer por meio de requisições especialmente preparadas, sem exigir que o invasor tenha acesso administrativo ao sistema.
Quais versões do PHP são afetadas?
De acordo com as informações divulgadas pelos pesquisadores e fornecedores, versões do PHP entre 5.4 e 8.5.11 podem ser afetadas, dependendo da implementação e das correções disponibilizadas.
O projeto PHP disponibilizou versões corrigidas para as linhas ainda contempladas pela atualização: 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
Distribuições Linux, como o Ubuntu, também disponibilizaram correções específicas para os seus pacotes, inclusive em versões mais antigas do PHP mantidas pela distribuição.
Isso significa que não basta verificar apenas o número principal da versão do PHP. É necessário confirmar se o pacote instalado já recebeu as correções de segurança fornecidas pelo fabricante.
Como corrigir as vulnerabilidades imediatamente
Administradores de servidores Linux, principalmente ambientes Ubuntu, devem verificar e atualizar os pacotes de segurança o quanto antes.
Passo 1 — Verificar a versão instalada
Acesse o terminal do servidor e execute:
php -vO comando apresenta a versão do PHP utilizada na linha de comando.
Passo 2 — Atualizar os pacotes do Ubuntu
Em servidores Ubuntu que utilizam os repositórios oficiais, execute:
sudo apt update
sudo apt upgradeEsses comandos atualizam a lista de pacotes e instalam as correções disponibilizadas para o sistema.
Antes da operação, recomenda-se realizar um backup e planejar eventuais reinicializações dos serviços.
Passo 3 — Atualizar o PHP
Caso seja necessário atualizar especificamente os pacotes do PHP 8.1 no Ubuntu 22.04 LTS, utilize:
sudo apt update
sudo apt install --only-upgrade php8.1-common php8.1-cli php8.1-fpm libapache2-mod-php8.1O comando atualizará os pacotes instalados que estiverem disponíveis nos repositórios configurados.
Para o Ubuntu 22.04 LTS, a Canonical disponibilizou as correções na versão 8.1.2-1ubuntu2.28.
Outras versões do Ubuntu possuem pacotes e numerações diferentes.
Passo 4 — Reiniciar os serviços
Após a instalação das correções, pode ser necessário reiniciar o Apache ou o PHP-FPM, conforme a configuração do servidor.
Para servidores Apache:
sudo systemctl restart apache2Para servidores que utilizam PHP-FPM 8.1:
sudo systemctl restart php8.1-fpmReinicie apenas os serviços efetivamente utilizados no ambiente e confirme o funcionamento das aplicações após a atualização.
Passo 5 — Confirmar se o servidor está protegido
Depois da atualização, execute:
php -v
apt policy php8.1-commonNo Ubuntu 22.04 LTS, confirme que os pacotes PHP utilizados estão na versão corrigida 8.1.2-1ubuntu2.28 ou posterior disponibilizada pela Canonical.
Também é importante verificar a versão efetivamente carregada pelo servidor web, pois ela pode ser diferente daquela apresentada pelo terminal.
Por que essas vulnerabilidades são tão perigosas?
Diferentemente de falhas que exigem acesso prévio a uma conta ou painel administrativo, vulnerabilidades de execução remota de código sem autenticação podem abrir caminho para ataques diretamente pela internet.
Dependendo das permissões do processo afetado, um invasor pode tentar acessar arquivos, comprometer dados ou utilizar recursos do servidor para outras atividades maliciosas.
Embora a existência das falhas não signifique que todos os servidores já tenham sido invadidos, o nível de gravidade justifica medidas emergenciais de proteção.
A importância das atualizações de segurança
Muitas empresas investem na criação de sites e sistemas modernos, mas acabam negligenciando a manutenção dos servidores responsáveis pelo funcionamento dessas aplicações.
É importante compreender que a segurança digital não depende apenas de senhas fortes, certificados SSL ou sistemas de proteção contra ataques.
Manter o PHP, o sistema operacional, os bancos de dados e os demais componentes atualizados é parte essencial da proteção de qualquer ambiente digital.
Wproo reforça a importância da manutenção preventiva
A Wproo destaca que a atualização constante de servidores e plataformas é fundamental para reduzir riscos e preservar a estabilidade de ambientes digitais.
As duas vulnerabilidades recentemente divulgadas reforçam a necessidade de monitoramento técnico, aplicação rápida de correções de segurança e manutenção preventiva.
A recomendação é clara: empresas e administradores que utilizam PHP devem verificar imediatamente suas instalações e aplicar as atualizações oficiais disponíveis.
A segurança de um site começa muito antes de um ataque acontecer. Manter a infraestrutura atualizada é uma das formas mais importantes de proteger informações, aplicações e usuários.
Wproo — Tecnologia, desenvolvimento e soluções digitais.
Fontes técnicas: Canonical/Ubuntu — USN-8948-1, comunicado php2shell de 21/10/2026 e Google Cloud Security.
Palavras-chave: PHP, vulnerabilidade PHP, segurança digital, CVE-2026-109618, CVE-2026-109619, atualização PHP, Ubuntu, segurança de servidores, Wproo.
