O PHP2Shell afeta o meu celular? O que a falha do PHP significa para iPhone e Android

iPhoneAndroidAtualizado

O comunicado do projeto PHP de 21 de outubro de 2026 diz que as instalações em risco são todas as instalações de PHP que atendem requisições web, ou seja, software de servidor. Ele não fala de celulares, tablets nem navegadores. Abrir um site no seu iPhone ou Android não roda o PHP desse site no celular, mas um site invadido ainda pode causar problemas de outras formas.

Resposta rápida

PHP2Shell é o nome de duas falhas críticas no PHP, a CVE-2026-109618 e a CVE-2026-109619. O comunicado do PHP diz que elas colocam em risco as instalações de PHP que atendem requisições web, e o manual do PHP diz que o código PHP é executado no servidor. O seu celular recebe a página pronta. Mesmo assim, mantenha o iOS ou o Android atualizado e tome cuidado com downloads e logins em sites desconhecidos.

O que o comunicado do PHP diz que está afetado?

Servidores que rodam PHP para responder a requisições web. O comunicado diz que o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrigem duas vulnerabilidades críticas que podem permitir a execução remota de código sem autenticação. Na parte sobre quem está em risco, ele cita todas as instalações de PHP que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed, e considera o risco maior no mod_php.

São formas de rodar o PHP por trás de um site. O alerta do CTIR Gov, centro de resposta a incidentes do governo federal, é dirigido às instituições: identificar os sistemas que usam PHP, verificar as versões e aplicar as atualizações imediatamente. O nosso guia sobre a vulnerabilidade do PHP fala das falhas em si e do problema adicional, bem menos provável, que o projeto PHP publicou em 23 de outubro.

Por que navegar no celular não roda o PHP?

Por causa de onde o PHP trabalha. O manual do PHP diz que, ao contrário do JavaScript no lado do cliente, o código é executado no servidor, gerando o HTML que é então enviado para o navegador. O navegador recebe os resultados, mas não sabe qual era o código-fonte.

O navegador do seu celular é esse lado que recebe. Ele pega o HTML, não o PHP que o gerou, e por isso corrigir o PHP2Shell é trabalho de quem cuida do site. O comunicado não menciona iOS nem Android, e este guia não afirma nada sobre o software que existe dentro de cada um.

Um site invadido ainda pode causar problemas no meu celular?

Pode, de outra forma, e um detalhe importa para celulares. As orientações do Google para donos de sites dizem que hackers podem injetar código que redireciona alguns usuários para páginas nocivas ou com spam, e que o tipo de redirecionamento às vezes depende do referenciador, do user agent ou do dispositivo. Ou seja, um site invadido pode se comportar no seu celular de um jeito diferente do que no notebook.

O guia visitar um site hackeado é perigoso? mostra o que um site invadido pode fazer e o que fazer se você já digitou uma senha onde não devia. Para as contas nos serviços que você usa, veja se os seus dados pessoais estão em risco.

Como atualizar o iPhone?

A Apple diz que manter o software atualizado é uma das coisas mais importantes que você pode fazer para zelar pela segurança do seu produto Apple. Não é uma correção do PHP2Shell, só uma boa prática que a Cartilha de Segurança para Internet, do CERT.br, também recomenda.

  1. Faça backup do iPhone no iCloud ou no computador.
  2. Ligue o iPhone na tomada e conecte-se à internet por Wi-Fi.
  3. Abra Ajustes > Geral > Atualização de Software.
  4. Se houver uma atualização, selecione Baixar e Instalar e siga as instruções na tela.

Para as atualizações se instalarem sozinhas, vá em Ajustes > Geral > Atualização de Software > Atualizações Automáticas e ative Instalar Automaticamente. A Apple diz que o iPhone faz o download e a instalação durante a noite, enquanto está carregando e conectado ao Wi-Fi, e avisa você antes de instalar.

Como atualizar um celular Android?

Para ver a versão, abra o app Configurações e toque em Sobre o dispositivo e depois em Versão do Android. Ali aparecem a versão do Android, a atualização de segurança do Android, a atualização do sistema do Google Play e o número da versão.

  1. Conecte o celular ao Wi-Fi e carregue a bateria. O Google sugere pelo menos 75%, e avisa que as atualizações podem ser grandes e demorar.
  2. Abra Configurações > Sistema > Atualizações de software.
  3. Confira o status da atualização e siga as instruções na tela.

O Google diz que as programações de atualização variam de acordo com o dispositivo, o fabricante e a operadora, então o menu pode ser diferente num celular que não é Pixel.

De onde devo baixar os apps?

Das lojas oficiais. A Cartilha diz que sistemas e aplicativos têm falhas (vulnerabilidades) que podem ser exploradas para invadir o dispositivo, capturar dados ou instalar malware, e recomenda usar só a loja oficial do sistema ou do fabricante, nunca instalando aplicativos recebidos por mensagem ou link.

No iPhone, os apps vêm da App Store, e a Apple diz que 100% dos apps de lá são checados automaticamente contra malwares conhecidos. No Android, o Google Play Protect busca comportamentos nocivos nos apps e no dispositivo, e faz uma confirmação de segurança nos apps da Play Store antes do download. Para conferir se ele está ativo, abra a Play Store, toque no ícone do perfil, depois em Play Protect > Configurações, e veja se a opção Verificar apps com o Play Protect está ativada.

Onde o Failshot entra

As versões do Failshot para iPhone, Android e Windows chegam em breve.

No Mac, o Failshot é uma segunda camada de segurança para o dispositivo. A sua senha é a primeira camada, e o Failshot é a camada que vem depois dela, para o momento em que alguém se senta diante do seu Mac e o desbloqueia. Enquanto está ligado, ele fotografa quem desbloquear o seu Mac e depois, com o Pro, grava um vídeo de 5 segundos, e a janela dele avisa a pessoa que o desbloqueio foi fotografado. Para desligá-lo, ou encerrá-lo pelo menu dele, é preciso o Touch ID ou o seu PIN e a sua resposta do Failshot, nunca a senha do Mac.

O app para Mac é um download gratuito em failshot.app, para macOS 14 ou posterior. Grátis para usar. O Pro acrescenta vídeo, alertas por e-mail e o cofre criptografado. Experimente o Failshot Pro para Mac grátis por 7 dias em failshot.app. O seu cartão é cadastrado na inscrição e cobrado no 8º dia, a menos que você cancele. O app está em inglês.

Mais perguntas

Existe uma atualização do PHP2Shell para iPhone ou Android?

O comunicado do PHP não menciona nenhuma. Em 23 de outubro de 2026, a correção dele são novas versões do PHP: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Ele não cita software de celular. Instale as atualizações da Apple e do Google quando chegarem, seja lá o que elas cobrirem.

O meu celular é antigo e não recebe mais atualizações. Devo me preocupar com o PHP2Shell?

O PHP2Shell diz respeito a servidores, então não é esse o motivo. Mas vale a orientação geral: o Google diz que dispositivos mais antigos nem sempre conseguem rodar versões mais novas do Android, e que para receber a atualização de segurança mais recente é preciso ter a última versão do Android disponível para o aparelho.

O PHP2Shell afeta o meu Mac ou notebook?

Depende de o PHP estar instalado nele, uma pergunta diferente da do celular. O guia o PHP2Shell afeta o meu Mac? mostra como conferir no Terminal e como atualizar.

Devo parar de usar sites até isso ser corrigido?

Nem o comunicado do PHP nem o alerta do CTIR Gov pedem isso ao público. A orientação deles é para quem roda PHP: atualizar. Como visitante, valem os cuidados de sempre com downloads e páginas de login.

Fontes