Vulnerabilidade no PHP (PHP2Shell): o que muda para você

MacWindowsiPhoneAndroidAtualizado 2026-10-24

PHP2Shell é o nome dado a duas falhas de segurança críticas no PHP, a CVE-2026-109618 e a CVE-2026-109619, corrigidas pelo projeto PHP em 21 de outubro de 2026. O PHP é a linguagem de programação em que rodam muitos sites. No Brasil, o CTIR Gov, centro de resposta a incidentes do governo federal, publicou um alerta no mesmo dia. Este guia está atualizado até 23 de outubro de 2026.

Resposta rápida

PHP2Shell são duas falhas críticas no PHP, a linguagem por trás de muitos sites. Elas foram corrigidas no PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, lançados em 21 de outubro de 2026. Se você tem um site, confira e atualize a versão do PHP. Se tem um NAS ou roteador, siga as orientações do fabricante. Se você só visita sites, a correção cabe aos donos deles.

O que é o PHP2Shell?

São duas falhas distintas no próprio PHP, anunciadas juntas. O alerta do CTIR Gov diz que elas podem permitir a execução remota de código por um atacante não autenticado: alguém poderia fazer um servidor executar instruções próprias sem precisar fazer login. A agência americana CISA chama as falhas de "php2shell". As duas têm nota 9,2 na versão 4 da escala CVSS, e o projeto PHP as classifica como críticas.

O manual do PHP descreve a linguagem como "especialmente adequada para o desenvolvimento web". Ela roda no servidor que envia a página para você, não no seu celular nem no seu computador. O comunicado do PHP diz que são afetadas todas as instalações de PHP que atendem requisições web, e que o risco é maior no Apache com mod_php, para o qual existe um ataque já demonstrado.

Quais versões do PHP corrigem a falha?

O projeto PHP lançou quatro versões corrigidas em 21 de outubro de 2026:

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

As notas de lançamento dizem que não existem medidas paliativas completas e que atualizar é a única escolha segura.

O PHP 8.1 e as versões anteriores não recebem mais atualizações do projeto PHP. O comunicado diz que algumas distribuições e fornecedores de suporte de longo prazo oferecem correções adaptadas, e que a equipe de segurança do PHP publicou correções mínimas em código-fonte para 7.4, 8.0 e 8.1, voltadas a quem compila o PHP por conta própria.

Quem é afetado entre as pessoas comuns?

A maioria das pessoas nunca vai mexer com PHP diretamente. Ele chega até você em três situações.

Você tem ou cuida de um site. Um blog, uma pequena loja ou o site de uma associação em WordPress provavelmente roda em PHP. Comece por como verificar a versão do PHP do seu site e depois veja como atualizar o PHP no WordPress. Se algo já parece errado, leia site hackeado: o que fazer.

Você tem um NAS, um roteador ou outro aparelho com página de administração na web. A CISA lembra que o PHP muitas vezes vem embutido em outros programas e que sua presença nem sempre é visível. Veja nosso guia sobre a vulnerabilidade do PHP nos NAS Synology e QNAP e, para o seu computador, PHP2Shell no Mac.

Você visita sites ou compra pela internet. As falhas estão nos servidores, então corrigi-las é tarefa de quem administra o site. Veja visitar um site hackeado é perigoso? e seus dados pessoais estão em risco?

O que as autoridades dizem sobre exploração?

Este é o quadro das fontes oficiais em 23 de outubro de 2026.

Em 23 de outubro de 2026, o alerta da CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação.
O CERT-EU, serviço de cibersegurança das instituições europeias, diz que as primeiras provas de conceito começaram a circular, o que, segundo ele, aumenta a probabilidade de que atacantes já estejam explorando as falhas.
O comunicado da QNAP de 22 de outubro diz que tentativas de exploração contra o PHP foram relatadas publicamente.
O alerta 93/2026 do CTIR Gov descreve o impacto possível e recomenda aplicar as correções imediatamente. Ele não relata exploração ativa.

Uma prova de conceito mostra que um ataque funciona. Uma tentativa é alguém enviar o ataque a um servidor para ver se dá certo. Nada disso diz que um site específico foi invadido nem que seus dados foram levados.

No governo federal, o Ministério da Gestão informou em 22 de outubro que, após o alerta do CTIR Gov, a orientação inicial foi retirar temporariamente do ar os sistemas desenvolvidos em PHP e, em seguida, atualizá-los. O SEI foi tirado do ar por precaução, e o ministério disse que os sites do governo usam outra tecnologia e não foram afetados.

O que fazer agora?

Depende de qual dos três grupos é o seu.

Se você tem um site:

Descubra qual versão do PHP ele usa, com o guia como verificar a versão do PHP do seu site.
Atualize para uma versão corrigida, ou pergunte à sua hospedagem se ela já fez isso. O CTIR Gov recomenda identificar os sistemas que usam PHP, verificar as versões e aplicar as atualizações de imediato.
Se não der para atualizar já, o CTIR Gov sugere medidas temporárias, como restringir o acesso pela internet, e ressalta que elas não substituem a correção. A CISA também orienta tirar do ar os sistemas que não podem ser atualizados de imediato ou que rodam PHP 8.1 ou anterior.
Se o site não pôde ser atualizado logo, o NCSC britânico recomenda procurar sinais de invasão e de portas dos fundos antes de atualizar.

Se você tem um NAS, roteador ou aparelho parecido, consulte o comunicado de segurança do fabricante para o seu modelo e instale a atualização que ele oferecer.

Se você é visitante ou cliente, não precisa instalar nada por causa do PHP2Shell. As dicas gerais do CERT.br continuam valendo: use uma senha diferente para cada conta e ative a verificação em duas etapas. O CERT.br também alerta que golpistas aproveitam temas em destaque para atrair vítimas, então desconfie de mensagens que pedem login ou clique em link.

Existe uma terceira falha no PHP?

Existe uma relacionada, bem menor. Em 23 de outubro, o projeto PHP publicou um comunicado informativo sobre a CVE-2026-115560. Ele diz que o problema só acontece com uma combinação incomum de configurações e código, improvável na prática. A orientação provisória é desativar o progresso de upload de sessão (session.upload_progress.enabled=0) até a próxima versão regular de correções.

Mais perguntas

O PHP2Shell é um vírus?

Não. É o nome de duas falhas no PHP, o software usado por muitos servidores web. A correção é uma atualização do PHP, que o dono do servidor ou a hospedagem instala. Não há nada para procurar no seu aparelho.

Preciso atualizar o PHP no meu computador?

Provavelmente não. O PHP roda em servidores web, e o comunicado do PHP fala das instalações que atendem requisições web. Se você instalou o PHP por conta própria para criar sites, atualize. Nosso guia sobre PHP2Shell no Mac explica esse caso.

O que significa a nota CVSS 9,2?

O CVSS é uma metodologia para avaliar a gravidade de vulnerabilidades. O CTIR Gov explica que a escala vai de 0,0 a 10,0 e que, quanto maior a nota, maior a gravidade. O projeto PHP dá 9,2 às duas falhas, pela versão 4 do CVSS, e as classifica como críticas.

Alguém já foi hackeado com o PHP2Shell?

Em 23 de outubro de 2026, nenhum dos comunicados oficiais listados abaixo dá um número de sites invadidos. O alerta da CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação.

Meu site está em hospedagem compartilhada. Atualizar o PHP é tarefa minha?

Pergunte à hospedagem se ela já instalou as versões corrigidas e confira qual versão o seu site está configurado para usar. Como verificar a versão do PHP do seu site mostra onde olhar.