PHP2Shell: a IA ajudou a encontrar uma RCE crítica no PHP

O que é PHP2Shell?

PHP2Shell é um par de vulnerabilidades do PHP no gerenciamento de memória que transformam uma requisição com falha em execução remota de código (RCE). RCE significa que um atacante pode executar os próprios comandos no servidor. Os dois avisos de segurança oficiais classificam as falhas com 9,2 no CVSS v4.0, o Common Vulnerability Scoring System, que mede a severidade de 0 a 10.

A IA ajudou a encontrar o PHP2Shell

O mais marcante deste caso é como ele foi encontrado. Os pesquisadores usaram um modelo avançado de IA no trabalho, em uma falha que estava no PHP havia pelo menos uma década. Isso mostra até onde a IA já chega na pesquisa de vulnerabilidades.

Na Fluid Attacks, vemos a IA como uma forma de apoiar a pesquisa de vulnerabilidades e reduzir o tempo de detecção. Achados como o PHP2Shell mostram o que ela pode fazer, e vivemos isso na prática: nossos analistas revisaram 1.006 achados do nosso AI SAST, 28 se tornaram candidatos a CVE e, até junho de 2026, 12 já eram advisories públicos.

Nosso AI SAST primeiro divide uma base de código em unidades menores, para que uma análise mais profunda se concentre em menos caminhos. Nós o usamos como ferramenta de descoberta, não como um sistema autônomo de divulgação: um analista verifica cada fluxo reportado antes que ele se torne candidato.

A velocidade também ajuda o atacante. A Cloudflare viu tráfego de ataque contra os clientes dela depois que os detalhes vazaram, e os atacantes mudaram os payloads para burlar as regras da empresa.

Achados como este vão ficar cada vez mais comuns, e o tempo para corrigir vai importar cada vez mais. Explicamos por que a distância entre a divulgação e o ataque continua diminuindo no nosso post sobre como fechar a janela de exposição.

Como o PHP2Shell funciona?

As duas vulnerabilidades do PHP começam com uma requisição que falha no meio do caminho, por exemplo, quando fica sem memória. Então o PHP deixa a memória em um estado quebrado, e um atacante que controla esse momento pode transformá-lo em RCE. A CVE-2026-109618 corrompe a memória dentro da requisição com falha. A CVE-2026-109619 deixa ponteiros que uma requisição posterior no mesmo worker do PHP lê depois que essa memória já não existe.

Quais versões do PHP corrigem o PHP2Shell?

As versões corrigidas resolvem a CVE-2026-109618 e a CVE-2026-109619 no PHP 8.2 a 8.5. Para as ramificações mais antigas, o projeto PHP não publicou nenhuma versão oficial.

Fim de vida (EOL, na sigla em inglês) significa que o projeto PHP não publica mais atualizações de segurança para a ramificação. Depois de atualizar, reinicie cada worker do PHP e reconstrua as suas imagens de contêiner.

Como verificar se você está exposto ao PHP2Shell

Verifique a versão do PHP em cada host e em cada imagem de contêiner. O binário de linha de comando pode ser diferente do que o servidor web usa:

php -v                                            # host
docker run --rm --entrypoint php my-image:tag -v  # container image

Na Fluid Attacks, já incorporamos as duas vulnerabilidades do PHP à nossa detecção, e nossos clientes as veem reportadas na nossa plataforma. Na nossa base de dados de vulnerabilidades, FLAT-3LKKV para a CVE-2026-109618 e FLAT-QMKZU para a CVE-2026-109619 listam os intervalos de versões afetadas e, quando disponíveis, as versões corrigidas. Cada equipe pode ver para qual versão atualizar.

Perguntas frequentes

O PHP2Shell afeta o WordPress?

Um site WordPress está exposto se o runtime do PHP dele estiver em uma versão vulnerável. A Cloudflare observa que atualizar o código do site ou os plugins não corrige as falhas. Atualize o PHP ou pergunte ao seu provedor de hospedagem qual versão roda no seu site.

O PHP2Shell é o próximo Log4Shell?

Ambos são falhas críticas de RCE em software que está por baixo de grande parte da web. O PHP é usado em 69,3 % dos sites cuja linguagem do lado do servidor é conhecida pelo W3Techs. O Log4Shell precisou de várias versões de acompanhamento até que a correção ficasse completa, como mostra a nossa linha do tempo do Log4Shell. O PHP publicou uma única correção por ramificação com suporte. O risco em aberto está nas ramificações EOL.

Um WAF protege contra o PHP2Shell?

Um firewall de aplicações web (WAF) reduz o risco, mas não o elimina. A Cloudflare descreve as regras de WAF dela como uma camada de defesa em profundidade e pede aos clientes que corrijam essas vulnerabilidades do PHP mesmo com essas proteções ativas.

Encontre o PHP2Shell antes de um atacante

A Fluid Attacks já reporta as duas CVEs aos clientes, e você pode verificar as suas próprias aplicações hoje com um teste gratuito de 21 dias. Fale conosco