O que é execução remota de código (RCE)? Explicado em palavras simples

WindowsMacAtualizado 2026-10-24

Execução remota de código, em inglês remote code execution ou RCE, é o termo que os alertas de segurança usam quando uma falha pode permitir que um atacante rode o próprio código num sistema que ele alcança pela rede. O CTIR Gov, centro de resposta a incidentes do governo federal, diz que as falhas do PHP corrigidas em outubro de 2026 podem permitir a execução remota de código (RCE) por um atacante não autenticado. Este guia está atualizado até 23 de outubro de 2026.

Resposta rápida

Execução remota de código (RCE) quer dizer que uma falha de segurança pode permitir que alguém rode código ou comandos próprios num computador a partir de outro ponto da rede. O NCSC britânico disse que as falhas do PHP2Shell podem permitir que atacantes executem comandos em qualquer servidor web que rode PHP. A correção cabe a quem cuida do servidor, atualizando o software afetado.

O que significa execução remota de código?

As palavras mais claras vêm dos próprios alertas. O comunicado do projeto PHP de 21 de outubro de 2026 fala de duas vulnerabilidades críticas que podem permitir a execução remota de código sem autenticação. O alerta do CTIR Gov usa a mesma ideia, e o comunicado da Synology sobre as mesmas falhas diz que elas permitem que atacantes remotos executem código arbitrário.

As duas palavras que mais pesam são "remota" e "não autenticado". A FIRST, entidade que publica o sistema de notas de gravidade CVSS, diz que uma falha que pode ser atacada pela rede costuma ser chamada de "explorável remotamente", e que os possíveis atacantes podem estar em qualquer lugar, até a internet inteira. No mesmo documento, um atacante que não precisa de conta nem de login é descrito como não autenticado antes do ataque.

Ou seja, RCE descreve o que uma falha poderia permitir, não algo que já aconteceu.

Por que a RCE é considerada tão grave?

Por causa do que o atacante poderia fazer depois que o código dele roda. O CVSS, explicado no guia sobre números CVE e notas CVSS, registra isso como impacto. As notas do projeto PHP para as duas falhas do PHP2Shell marcam o impacto como Alto para confidencialidade, integridade e disponibilidade. A especificação da FIRST dá como exemplo de impacto alto na integridade um atacante capaz de modificar qualquer arquivo protegido pelo sistema vulnerável, ou todos eles, e como exemplo de impacto alto na confidencialidade o roubo da senha do administrador ou das chaves privadas de criptografia de um servidor web.

As mesmas notas também registram o que torna um ataque mais difícil. As duas falhas aparecem com alta complexidade de ataque e com requisitos de ataque presentes. A FIRST define a primeira como um ataque que depende de contornar medidas de segurança já existentes. A segunda quer dizer que o ataque depende de condições específicas na forma como o sistema está configurado e rodando, e a FIRST observa que um ataque assim pode precisar ser lançado várias vezes contra o mesmo alvo antes de dar certo.

Com tudo isso registrado, a nota do projeto PHP para as duas falhas é 9,2 de 10, na faixa Crítica.

O que a RCE significa se eu tenho um site?

Significa que atualizar é urgente se o seu site roda uma versão afetada do PHP. O comunicado do PHP diz que considera o risco maior no Apache com mod_php, para o qual existe um exploit demonstrado: uma requisição sem autenticação pode disparar o ataque antes que qualquer código da aplicação rode. Em termos simples, no mod_php o ataque pode funcionar antes mesmo de o WordPress ou outro software do site começar a rodar. As versões que corrigem a falha, e o que fazer, estão no nosso guia sobre a vulnerabilidade do PHP.

Comece por como verificar a versão do PHP do seu site. Se a sua hospedagem cuida do PHP para você, o guia a hospedagem diz que o PHP foi corrigido mostra o que ainda fica com você.

O que a RCE significa se eu só visito sites?

Uma falha de RCE no PHP é uma falha no servidor. A lista de quem está em risco no comunicado do PHP cita software de servidor, como PHP-FPM e Apache com mod_php, e não menciona navegadores nem os aparelhos de quem visita os sites. Em 23 de outubro de 2026, o alerta da agência americana CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação. Duas perguntas próximas têm guias próprios: visitar um site hackeado é perigoso? e meus dados pessoais estão em risco com a vulnerabilidade do PHP?

Como o PHP2Shell leva à execução remota de código?

O comunicado do PHP dá nome às duas falhas pelo caminho que leva à RCE. A primeira é "RCE via OOM corruption" (CVE-2026-109618): o tratamento de falta de memória pode interromper o PHP enquanto dados internos da requisição estão só parcialmente inicializados. A segunda é "RCE via stale global state" (CVE-2026-109619): um estado interno ligado à requisição pode continuar existindo depois que a memória por trás dele foi liberada. Os registros CVE oficiais acrescentam que o PHP pode então ler ou tomar decisões com base em memória da requisição que não foi inicializada, no primeiro caso, ou que já foi liberada, no segundo. O alerta do CTIR Gov resume: as falhas estão ligadas ao tratamento de erros de falta de memória e à gestão de estados internos durante o processamento das requisições.

Mais perguntas

O que quer dizer RCE?

Remote code execution, ou execução remota de código. O projeto PHP usa a sigla no nome das duas falhas do PHP2Shell, e os registros CVE oficiais das duas dizem que elas podem levar a execução remota de código (RCE).

Execução remota de código é o mesmo que ser hackeado?

Não. RCE descreve o que uma falha poderia permitir. Ser hackeado quer dizer que alguém de fato usou uma falha contra um sistema. Para o PHP2Shell, em 23 de outubro de 2026, nenhum dos alertas oficiais citados aqui informa um número de sites comprometidos. Se você tem um site e algo parece errado, leia site hackeado: o que fazer na primeira hora.

O que "não autenticado" significa num alerta?

Que o atacante não precisa estar logado, nem ter conta ou senha no sistema. A especificação do CVSS da FIRST diz que um atacante assim não precisa de nenhum acesso a configurações ou arquivos antes do ataque.

Toda falha de RCE é crítica?

Não. A nota depende de quão fácil é o ataque e do que ele exige, além do impacto, e avaliadores diferentes podem discordar: a base americana NVD classificou a CVE-2026-109619 como Alta, não Crítica. O guia sobre números CVE e notas CVSS compara as notas.

RCE é um tipo de vulnerabilidade?

Sim. O programa CVE define vulnerabilidade como uma fraqueza num produto que pode ser explorada, com impacto negativo na confidencialidade, na integridade ou na disponibilidade. RCE descreve uma coisa que essa fraqueza pode permitir. O guia o que é vulnerabilidade? explica o termo mais amplo.