O seu roteador ou firewall de casa roda PHP? O que o PHP2Shell significa para ele

WindowsMacAtualizado 2026-10-24

A Netgate, que faz o pfSense, e a equipe do OPNsense publicaram atualizações de PHP para os seus softwares de firewall em 21 de outubro de 2026, o dia em que o projeto PHP anunciou as falhas do PHP2Shell. Se um roteador comum de casa é afetado depende de o fabricante ter colocado PHP nele, e só o fabricante pode dizer isso.

Resposta rápida

O PHP2Shell afeta instalações de PHP que atendem requisições web, e alguns aparelhos de rede usam PHP nas páginas de administração. pfSense e OPNsense já publicaram correções. Para qualquer outro roteador, procure uma atualização de firmware na página de suporte do fabricante, mantenha a página de administração fora da internet e instale as atualizações quando chegarem.

O PHP2Shell afeta o meu roteador?

Só se o roteador rodar PHP, e a maioria dos donos não tem como ver isso de fora. O comunicado do projeto PHP diz que as duas falhas, a CVE-2026-109618 e a CVE-2026-109619, colocam em risco todas as instalações de PHP que atendem requisições web, e o alerta 93/2026 do CTIR Gov, o centro de resposta a incidentes do governo federal, diz que elas podem permitir a execução remota de código por um atacante não autenticado. Em termos simples, alguém poderia rodar comandos próprios no aparelho sem fazer login.

A agência americana CISA diz que o PHP muitas vezes é um componente de outros softwares e que a presença dele pode não ser diretamente visível. O NCSC britânico diz que o PHP também é usado em vários outros produtos. Então um aparelho pode ter PHP sem dizer isso na caixa.

Não citamos nenhuma marca de roteador doméstico nesta página, porque só listamos um fabricante quando o próprio comunicado dele diz que os produtos foram afetados ou corrigidos. Os dois que disseram estão abaixo.

O que a Netgate diz sobre o pfSense?

O comunicado da Netgate de 21 de outubro de 2026 diz que as duas falhas afetam instalações do pfSense, mas só são motivo de preocupação se a interface web de administração em PHP ou o serviço Captive Portal estiverem expostos a possíveis atacantes.

Por padrão, diz a Netgate, a página de administração só é acessível pela rede local, não pela internet, e o Captive Portal não vem ativado. Estas são as versões que ela lista como atualizadas:

pfSense Plus 26.07 e 26.03.1, e pfSense CE 2.9.0, agora com PHP 8.5.12.
pfSense CE 2.8.1, agora com PHP 8.3.36.

A atualização não pode ser feita pela página de administração. A Netgate diz que ela precisa ser rodada na linha de comando, por SSH ou pelo console, e o comunicado traz os comandos exatos. Quem expôs a página de administração à internet deve atualizar imediatamente, refazer as regras e passar a acessá-la só por meios seguros, como uma VPN. Quem usa Captive Portal deve atualizar o quanto antes. Os demais, segundo a Netgate, não são afetados, mas devem atualizar quando for conveniente.

O que o OPNsense diz?

O anúncio do OPNsense de 21 de outubro de 2026 lista correções com o PHP atualizado: Community Edition 26.7.7 com PHP 8.5.12, Community Edition 26.1.11 com PHP 8.3.36 e Business Edition 26.4.2p4 com PHP 8.3.36. As notas de versão da linha 26.7 listam a correção extra para a CVE-2026-109618 e a CVE-2026-109619, PHP 8.5.12, dentro da 26.7.7.

O anúncio recomenda fortemente instalar a atualização o quanto antes. Se você usa o captive portal, ele pede que reinicie esse serviço depois de instalar, para que as correções façam efeito.

O que a CISA e o NCSC dizem sobre aparelhos com PHP embutido?

As orientações das duas agências são para organizações, e as duas olham além dos servidores que as pessoas montam sozinhas. O NCSC pede que se acompanhem as atualizações de segurança de fornecedores terceiros, incluindo aparelhos e serviços que podem trazer PHP embutido. A CISA pede que se identifiquem todos os sistemas que rodam qualquer versão do PHP, que a correção seja aplicada primeiro nos sistemas expostos à internet e que sistemas que não possam ser atualizados de imediato saiam do ar.

Numa rede de casa, a versão prática disso é a página de suporte do fabricante do roteador. Sobre exploração, em 23 de outubro de 2026: o alerta da CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação, e o comunicado da QNAP diz que tentativas de exploração contra o PHP foram relatadas publicamente.

O que fazer com o roteador de casa?

Trate o roteador como qualquer aparelho cujo software você não consegue inspecionar. O fascículo Redes da Cartilha de Segurança para Internet, do CERT.br, cobre o essencial, e a CISA lembra que cada roteador é diferente, então os menus exatos estão no manual do seu.

Descubra a marca e o modelo do roteador e abra a página de suporte do fabricante para esse modelo.
Procure um comunicado de segurança ou uma atualização de firmware. O CERT.br diz que equipamentos de rede também precisam de atualizações para corrigir vulnerabilidades e que, sem elas, atacantes podem explorar falhas para ganhar acesso à sua rede ou invadir o roteador. Ele recomenda ativar a atualização automática sempre que possível.
Se o roteador foi fornecido pelo seu provedor de internet, o CERT.br sugere descobrir como as atualizações são feitas, e diz que talvez seja preciso reiniciá-lo de tempos em tempos para recebê-las.
Desative o gerenciamento remoto. A CISA diz que essa opção permite entrar no roteador pela internet para mudar configurações, e que desativá-la obriga alguém a estar na sua rede antes de poder mudá-lo.
Desative o UPnP se não precisar dele. O guia como desativar o UPnP e o redirecionamento de portas explica o porquê.
Troque a senha de administração se ela ainda for a de fábrica. O CERT.br diz que esses aparelhos costumam vir com senhas padrão que podem ser descobertas por atacantes, e pede uma senha forte e longa, sem informações pessoais nem dados do equipamento, como marca, modelo e endereço MAC.
Confira se o firewall do roteador está ativado. O CERT.br diz que ele bloqueia conexões não autorizadas de entrada para o roteador e para os outros dispositivos da rede.

Se você também tem um NAS em casa, a Synology e a QNAP publicaram comunicados próprios. O guia NAS Synology e QNAP e a vulnerabilidade do PHP resume o que cada uma diz.

Mais perguntas

Existe uma lista de produtos afetados pelo PHP2Shell?

O NCSC britânico aponta para uma lista de produtos de software com dependência de PHP que podem ser afetados, mantida no GitHub pelo NCSC-NL, da Holanda. A lista diz que está sendo atualizada conforme a situação evolui, então ela é um ponto de partida. O comunicado do fabricante do seu roteador é o que vale para o seu modelo.

Posso atualizar o PHP do meu roteador sozinho?

Na maioria dos roteadores de casa, não. Se o roteador tem PHP, ele vem dentro do firmware do fabricante, então a correção chega como atualização de firmware. pfSense e OPNsense são diferentes: os donos instalam o PHP atualizado seguindo os passos do comunicado de cada projeto.

A página de administração do meu roteador só abre em casa. Estou seguro?

A Netgate diz que donos de pfSense que mantêm a página de administração fora de redes não confiáveis e não usam Captive Portal não são afetados, mas devem atualizar mesmo assim. A QNAP avisa que restringir o acesso à rede local não protege contra dispositivos dessa rede que já foram comprometidos. Atualizar continua sendo a correção.

Existe alguma solução provisória se ainda não há atualização?

O projeto PHP diz que só uma atualização é uma solução completa, e que as configurações provisórias dele reduzem a exposição sem tornar uma instalação segura. Essas configurações são para quem roda o PHP diretamente. Num roteador, o que está nas suas mãos é manter a administração fora da internet e instalar a atualização do fabricante.

O que é o PHP2Shell?

É o nome de duas falhas críticas no PHP, a CVE-2026-109618 e a CVE-2026-109619, as duas com nota 9,2 na versão 4.0 do CVSS, anunciadas em 21 de outubro de 2026. O guia sobre a vulnerabilidade do PHP traz as versões corrigidas.