php2shell: falhas críticas no PHP exigem patch imediato

A CISA, agência de segurança cibernética dos Estados Unidos, publicou em 21 de outubro um alerta pedindo atualização imediata de qualquer instalação de PHP que atenda requisições web. O motivo são duas vulnerabilidades batizadas de php2shell, registradas como CVE-2026-109618 e CVE-2026-109619: ambas permitem execução remota de código sem autenticação, ou seja, o invasor não precisa de senha nem de conta no sistema.

O alcance é amplo porque o problema está no próprio interpretador, não em um plugin. Segundo a CISA, são afetadas instalações em Apache com mod_php, que a própria PHP classifica como de risco mais alto, além de PHP-FPM, php-cgi, FrankenPHP e LiteSpeed. As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, publicadas pela equipe do PHP na mesma semana.

A exploração já foi confirmada. Em 26 de outubro, as duas falhas entraram no catálogo de vulnerabilidades exploradas (KEV) da CISA, com prazo de correção em 29 de outubro para agências federais dos Estados Unidos. A orientação é aplicar o patch, priorizando sistemas expostos à internet. Quem ainda usa PHP 8.1 ou versões anteriores, sem suporte, deve tirar o sistema do ar até conseguir atualizar. Firewall de aplicação (WAF) serve como paliativo, não como correção. A CISA também recomenda monitorar sinais de comprometimento, como processos PHP abrindo shell ou baixando ferramentas.

No Brasil, o efeito foi visível. A Folha de S.Paulo noticiou governos e tribunais suspendendo sistemas em meio a milhões de tentativas de invasão, e veículos especializados relataram a suspensão de serviços ligados à Anatel e um alerta do governo federal. Os números exatos de tentativas variam entre as publicações e não foram confirmados por fonte oficial.

O caso não é isolado do PHP. Na mesma janela, a imprensa especializada noticiou uma falha crítica de execução remota no Python e uma vulnerabilidade na biblioteca Pillow, usada para processar imagens em Python, que existia desde 2013 e teria sido localizada com apoio de modelos de IA. É o outro lado da automação: ferramentas que encontram falhas antigas em código de terceiros também encurtam o tempo entre a descoberta e o ataque.

Para quem mantém site ou sistema, a lição prática é de inventário. PHP raramente aparece sozinho: ele costuma vir dentro de CMS, painéis e imagens de contêiner, e por isso a versão real em uso não é a que está na documentação. Vale conferir a versão em cada servidor, atualizar para a linha corrigida e lembrar que 8.2.35 é uma ponte, não um destino: segundo o calendário oficial do PHP, o suporte de segurança da série 8.2 termina em 31 de dezembro de 2026.