O PHP2Shell afeta o meu Mac? Como saber se o PHP está instalado

MacAtualizado

O PHP2Shell só afeta o seu Mac se o PHP estiver instalado nele, e o manual do PHP diz que o PHP não vem mais com o macOS desde o macOS 12 Monterey. Um Mac recente só o terá se você, ou uma ferramenta que você instalou, o tiver adicionado. Dá para conferir no Terminal. Este guia está atualizado até 23 de outubro de 2026.

Resposta rápida

O comunicado do projeto PHP de 21 de outubro de 2026 trata de duas falhas críticas, a CVE-2026-109618 e a CVE-2026-109619, em instalações de PHP que atendem requisições web. O manual do PHP diz que o macOS não inclui o PHP desde o macOS 12 Monterey. Abra o Terminal e digite php -v. Se aparecer uma versão, atualize para uma versão corrigida pelo mesmo caminho por onde você instalou.

O macOS vem com PHP?

As versões recentes não, segundo o manual do PHP. Ele diz que o PHP era incluído no macOS nas versões 10 e 11, mas não é mais incluído desde o macOS 12 (Monterey), e que a instalação em versões mais recentes exige pacotes de terceiros ou compilação a partir do código-fonte.

As notas de versão da Apple que consultamos não falam de PHP. As do macOS Catalina 10.15 dizem apenas que linguagens de script como Python, Ruby e Perl estavam incluídas por compatibilidade e que versões futuras não as trariam mais por padrão. Por isso a fonte aqui é o manual do PHP, e a conferência no seu próprio Mac resolve a dúvida.

Como saber se o PHP está instalado no meu Mac?

Use o Terminal, como o manual do PHP descreve. A documentação de linha de comando diz que digitar php -v informa se o PHP é a versão CLI ou CGI, e o comando mostra o número da versão. Se aparecer um número, o PHP está instalado.

  1. Abra a pasta /Aplicativos/Utilitários e clique duas vezes no app Terminal. A Apple descreve esse caminho no Manual de Uso do Terminal.
  2. Digite php -v e pressione Return.
  3. Leia a primeira linha. Ela começa com "PHP" e um número de versão.
  4. Compare com a lista de versões corrigidas do guia como verificar a versão do PHP. Qualquer versão anterior da mesma linha precisa ser atualizada. O PHP 8.1 e as versões anteriores não recebem mais atualizações do projeto PHP.

Quem pode ter PHP no Mac?

Principalmente quem cria ou testa sites. As páginas do manual do PHP sobre macOS descrevem dois caminhos: pacotes de terceiros ou compilação a partir do código-fonte. O manual cita o Homebrew como uma maneira fácil (brew install php) e lista o MacPorts e o Fink como alternativas.

Você pode ter PHP se:

  • cria ou testa sites em PHP no seu Mac e o instalou para isso
  • instalou uma ferramenta de servidor local que traz o próprio PHP. O NCSC britânico pede que as organizações acompanhem as atualizações de fornecedores cujos produtos embutem PHP, e o mesmo vale para um app no seu Mac
  • já usou o servidor web embutido do PHP (php -S). O manual do PHP diz que ele foi desenvolvido para auxiliar no desenvolvimento de aplicações, não foi projetado para uso em produção e não deve ser usado em uma rede pública

O PHP do meu Mac está mesmo em risco?

Depende do uso. O comunicado do PHP diz que estão em risco todas as instalações que atendem requisições web, e cita PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Ele considera o risco maior no mod_php, onde diz existir um ataque demonstrado que uma requisição sem autenticação dispara antes que qualquer código da aplicação rode.

O comunicado não diz nada sobre o PHP usado só pela linha de comando, então não podemos afirmar que esse uso é seguro. O alerta do NCSC britânico diz que as organizações que usam qualquer versão do PHP são afetadas e devem atualizar para a mais recente. No Mac, a resposta simples também é atualizar.

Sobre exploração, em 23 de outubro de 2026: o alerta da agência americana CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação.

Como atualizar o PHP no Mac?

Atualize pelo mesmo caminho por onde instalou. O comunicado do PHP manda atualizar para uma versão corrigida e diz que os downloads do código-fonte estão na página de downloads do php.net. Se você instalou o PHP com um gerenciador de pacotes, atualize por esse gerenciador. Se ele veio dentro de um app de servidor local, atualize o app, ou procure no site do fabricante uma versão com o PHP corrigido.

Mudar configurações não resolve. O comunicado diz que as medidas que ele lista reduzem a exposição a caminhos de ataque específicos, mas não tornam uma instalação segura.

Se você está no PHP 8.1 ou anterior, o comunicado diz que o projeto PHP não atualiza mais essas versões e sugere migrar para uma versão com suporte. A equipe de segurança do PHP publicou correções mínimas em código-fonte para 7.4, 8.0 e 8.1, voltadas a quem compila o PHP.

Depois de atualizar, rode php -v de novo e confira se o número mudou.

Não. O manual do PHP explica que o código é executado no servidor, que gera o HTML enviado ao navegador. O navegador recebe o resultado e não sabe qual era o código-fonte. Ler um site feito em PHP não roda PHP no seu Mac, e o PHP2Shell é um problema do servidor do site, não do seu computador.

Um site invadido ainda pode ser um risco para quem o visita de outras formas, como páginas de login falsas ou downloads nocivos. Nosso guia visitar um site hackeado é perigoso? trata desse lado.

Onde o Failshot entra

O Failshot é uma segunda camada de segurança para o seu Mac. A sua senha é a primeira camada, e o Failshot é a camada que vem depois dela, para quando alguém desbloqueia o seu Mac com essa senha enquanto você está longe.

Com o Failshot ligado, ele fotografa quem desbloquear o seu Mac e depois, com o Pro, grava um vídeo de 5 segundos, e a janela dele avisa a pessoa que o desbloqueio foi fotografado. Com o Pro, ative os alertas, e o Failshot manda um e-mail para você sobre um desbloqueio que você não confirmar como seu, um PIN ou resposta do Failshot errados, ou o acesso dele à câmera sendo desativado enquanto ele está ligado. Para desligá-lo, ou encerrá-lo pelo menu dele, é preciso o Touch ID ou o seu PIN e a sua resposta do Failshot, nunca a senha do Mac.

O Failshot é um download gratuito para Mac em failshot.app, para macOS 14 ou posterior. Grátis para usar. O Pro acrescenta vídeo, alertas por e-mail e o cofre criptografado. Experimente o Failshot Pro para Mac grátis por 7 dias em failshot.app. O seu cartão é cadastrado na inscrição e cobrado no 8º dia, a menos que você cancele. O app está em inglês, e as versões para iPhone, Android e Windows chegam em breve.

Mais perguntas

Uma atualização do macOS atualiza o PHP?

O manual do PHP diz que o macOS não inclui o PHP desde o macOS 12 Monterey. Nessas versões, qualquer PHP foi instalado à parte e precisa ser atualizado pelo mesmo caminho. Mantenha o macOS atualizado de qualquer forma, mas não conte com ele para atualizar o PHP de um gerenciador de pacotes ou de um app de servidor local.

Meu Mac usa o macOS Big Sur ou anterior. Ele tem PHP?

Pode ter. O manual do PHP diz que o PHP era incluído no macOS nas versões 10 e 11. Rode php -v no Terminal para ver se aparece uma versão e compare com as versões corrigidas.

Houve outra falha no PHP depois de 21 de outubro?

Sim, uma falha separada e bem menos provável, a CVE-2026-115560, publicada pelo projeto PHP em 23 de outubro. Nosso guia sobre a vulnerabilidade do PHP fala dela.

Fontes