Como testar o seu site contra o PHP2Shell com segurança

WindowsMacAtualizado

O comunicado do projeto PHP de 21 de outubro de 2026 lista as versões que corrigem o PHP2Shell: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Essa lista é o teste. Se a versão do PHP do seu site é igual ou superior à correção da linha dela, a atualização pedida pelo comunicado está feita. Este guia está atualizado até 23 de outubro de 2026.

Resposta rápida

Compare a versão do PHP do seu site com as versões corrigidas, leia os avisos da hospedagem e dos fabricantes dos programas que você usa, e procure os produtos que trazem PHP na lista do NCSC-NL no GitHub. Um scanner não substitui isso. A correção é atualizar, e só teste sites que são seus ou que você tem permissão para testar.

O que as fontes oficiais mandam verificar?

Nenhum dos comunicados oficiais sobre o PHP2Shell manda pessoas comuns rodarem um scanner. O comunicado do PHP diz que as falhas afetam todas as instalações de PHP que atendem requisições web e que só uma atualização é uma solução completa. No Brasil, o alerta 93/2026 do CTIR Gov, o centro de resposta a incidentes do governo federal, recomenda identificar os sistemas que usam PHP, verificar as versões instaladas e aplicar as atualizações imediatamente. A agência americana CISA pede um inventário de todos os sistemas que rodam qualquer versão do PHP.

Para quem tem um blog, uma loja pequena ou o site de uma associação, isso se resume a duas verificações: a versão que o seu site roda e os avisos das empresas cujo software ou hospedagem você usa.

Como verifico a minha versão do PHP?

Você precisa do número exato em que o site roda, como 8.3.36, e não só "PHP 8". O guia como verificar a versão do PHP do seu site mostra onde achar no WordPress e no painel da hospedagem, e o que perguntar à hospedagem se você não encontrar.

O NCSC britânico faz um alerta que importa aqui: não limite a busca às versões desatualizadas do PHP. Ele diz que organizações que usam qualquer versão do PHP são afetadas, então uma versão que parece recente ainda precisa ser comparada com a lista de versões corrigidas.

E os avisos da hospedagem e de outros fabricantes?

A hospedagem roda o servidor, então o aviso dela costuma ser a resposta mais clara. Procure um e-mail, uma página de status ou um artigo de suporte sobre o comunicado do PHP de 21 de outubro, e confira se ele cita a versão corrigida da linha que o seu site usa. Se não houver nada, pergunte.

O PHP também pode estar dentro de outros produtos. A CISA diz que o PHP muitas vezes é um componente de outros softwares e que a presença dele pode não ser diretamente visível. O NCSC pede que as organizações acompanhem as atualizações de segurança de fornecedores terceiros, porque aparelhos e serviços podem trazer PHP embutido. Se você tem um NAS ou um roteador com página de administração na web, o comunicado de segurança do fabricante é o lugar para olhar. O guia NAS Synology e QNAP e a vulnerabilidade do PHP resume o que esses dois disseram, e o guia sobre roteadores e firewalls cobre o resto da rede de casa.

O que é a lista do NCSC-NL no GitHub?

O centro nacional de cibersegurança da Holanda (NCSC-NL) mantém um repositório público em github.com/NCSC-NL/php2shell. A página do NCSC britânico sobre o PHP2Shell diz que o NCSC-NL publicou ali um inventário de produtos de software com dependência de PHP potencialmente afetados.

O repositório se apresenta como informação operacional sobre a CVE-2026-109618 e a CVE-2026-109619. Ele tem três partes: listas de produtos de software com dependência de PHP potencialmente afetados, material de detecção e mitigação, e ferramentas para usar ou gerar arquivos do repositório. A tabela de atualizações mais recentes mostra data, fornecedor, produto, versão, um status para as duas falhas e links. Entre os status aparecem Fix (corrigido), Vulnerable (vulnerável) e Investigation (em análise). O repositório diz que está sendo atualizado conforme a situação evolui.

Para usar, procure os seus produtos pelo nome do fornecedor e do produto e siga o link para o comunicado do próprio fornecedor. O repositório não se apresenta como completo, então um produto ausente não quer dizer que ele não foi afetado.

Um scanner online de vulnerabilidade do PHP me diz se estou seguro?

Ele diz algumas coisas, com limites. O guia geral do NCSC britânico sobre scanners de vulnerabilidade explica que eles funcionam por "fingerprinting" ou "banner grabbing": coletam detalhes de um sistema e comparam com produtos sabidamente vulneráveis. Ele diz que a varredura automática não se compara a processos manuais, como um teste de invasão, que os scanners de rede buscam amplitude em vez de profundidade e que eles podem gerar falsos positivos, quando apontam uma falha que não existe, e falsos negativos, quando deixam passar uma falha real.

No caso do PHP2Shell, um scanner não faz parte da orientação do projeto PHP, e a correção é atualizar. Seja qual for o resultado de uma varredura, o que você precisa saber é a versão exata do PHP no seu servidor e se ela já está na correção. Se o scanner e a hospedagem discordarem, peça à hospedagem que confirme a versão por escrito.

Só teste sites que são seus ou que você tem permissão clara para testar, e nunca rode código de ataque contra o site de outra pessoa. No Brasil, a Lei nº 12.737, de 2012, incluiu no Código Penal o artigo 154-A, "Invasão de dispositivo informático". No texto compilado do Código Penal no site do Planalto, na redação dada pela Lei nº 14.155, de 2021, o artigo trata de "invadir dispositivo informático de uso alheio, conectado ou não à rede de computadores, com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do usuário do dispositivo ou de instalar vulnerabilidades para obter vantagem ilícita", com pena de reclusão de 1 a 4 anos e multa.

Este guia não diz se um teste específico se enquadra ou não nesse artigo. Na dúvida sobre o que você pode fazer, pergunte antes. Se o seu site está no servidor de uma hospedagem, fale com ela antes de rodar qualquer coisa além de uma verificação de versão.

Mais perguntas

Existe um scanner oficial do PHP2Shell?

Nenhuma das páginas oficiais listadas abaixo oferece um scanner para pessoas comuns. O repositório do NCSC-NL tem material de detecção e mitigação, mas não descreve um scanner. A resposta do comunicado do PHP é atualizar para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.

O PHP2Shell já foi explorado?

Em 23 de outubro de 2026: o alerta da CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação. O CERT-EU diz que as primeiras provas de conceito começaram a circular, e o comunicado da QNAP diz que tentativas de exploração contra o PHP foram relatadas publicamente. O alerta do CTIR Gov não relata exploração ativa.

O scanner diz que o meu site está vulnerável. E agora?

Compare a versão do PHP com a lista de versões corrigidas e peça à hospedagem que confirme. Se não estiver corrigida, atualize ou peça à hospedagem que atualize. Se algo parecer errado no próprio site, o guia site hackeado: o que fazer cobre a primeira hora.

A hospedagem diz que corrigiu, mas um scanner discorda. Quem está certo?

Os scanners podem gerar falsos positivos, segundo o guia do NCSC sobre varreduras, e a correção depende da versão do PHP no seu servidor. Peça à hospedagem a versão exata do seu site e compare você mesmo com as versões corrigidas. O guia a hospedagem diz que corrigiu o PHP mostra o que ainda fica com você.

Um firewall resolve o PHP2Shell?

Não. A CISA diz que um firewall de aplicação web pode dar alguma proteção até os sistemas serem atualizados. O comunicado do PHP diz que as medidas temporárias dele reduzem a exposição, mas não tornam uma instalação segura, e o CTIR Gov diz que medidas temporárias não substituem as correções. Atualizar continua sendo a correção.

Fontes